The remote SUSE Linux SUSE15 host has a package installed that is affected by a vulnerability as referenced in the openSUSE-SU-2021:2664-1 advisory.

  - Prometheus is an open-source monitoring system and time series database. In 2.23.0, Prometheus changed its     default UI to the New ui. To ensure a seamless transition, the URL's prefixed by /new redirect to /. Due     to a bug in the code, it is possible for an attacker to craft an URL that can redirect to any other URL,     in the /new endpoint. If a user visits a prometheus server with a specially crafted address, they can be     redirected to an arbitrary URL. The issue was patched in the 2.26.1 and 2.27.1 releases. In 2.28.0, the     /new endpoint will be removed completely. The workaround is to disable access to /new via a reverse proxy     in front of Prometheus. (CVE-2021-29622)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Prometheus is an open-source monitoring system and time series database. In 2.23.0, Prometheus changed its     default UI to the New ui. To ensure a seamless transition, the URL's prefixed by /new redirect to /. Due     to a bug in the code, it is possible for an attacker to craft an URL that can redirect to any other URL,     in the /new endpoint. If a user visits a prometheus server with a specially crafted address, they can be     redirected to an arbitrary URL. The issue was patched in the 2.26.1 and 2.27.1 releases. In 2.28.0, the     /new endpoint will be removed completely. The workaround is to disable access to /new via a reverse proxy     in front of Prometheus. (CVE-2021-29622)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:2664-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Prometheus 是一个开源监控系统和时间序列数据库。在 2.23.0中Prometheus 已将其默认 UI 更改为新 ui。为确保顺利转换URL 的 /new 前缀重定向到 /。由于代码中存在一个缺陷攻击者有可能会在 /new 端点中构建可重定向至任何其他 URL 的 URL。用户使用特别构建的地址访问 prometheus 服务器时可被重定向到任意 URL。此问题已在 2.26.1 和 2.27.1 版本中修补。在 2.28.0中将完全删除 /new 端点。变通方案是禁用通过 Prometheus 前面的反向代理访问 /new。 (CVE-2021-29622)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Prometheus 是一種開放原始碼監控系統及時間序列資料庫。在 2.23.0中Prometheus 將其預設 UI 變更為新 ui。為確保無縫轉換，前置詞為 /new 的 URL 會重新導向至 /。由於程式碼中有一個錯誤攻擊者可特製一個可重新導向至 /new 端點中任何其他 URL 的 URL。如果使用者使用特製的位址造訪 prometheus 伺服器他們可能會被重新導向至任意 URL。此問題已在 2.26.1 和 2.27.1 版本中修補。在 2.28.0中將會完全移除 /new 端點。因應措施是在 Prometheus 前透過反向代理伺服器停用對 /new 的存取權。 (CVE-2021-29622)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:2675-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana Enterprise 7.2.x および 7.3.x より前の 7.3.10 および 7.4.x より前の 7.4.5 により、ダッシュボードエディターは、アクセスできないはずのデータソースに関する権限チェックをバイパスできます。(CVE-2021-27962)

  - 7.4.5 より前の Grafana Enterprise 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用する Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28146)

  - 6.7.6 より前の Grafana Enterprise 6.x、7.3.10 前の 7.x、7.4.5 前の 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用し、EditorsCanAdmin 機能が有効な Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28147)

  - Grafana Enterprise 6.7.6 より前の 6.x、7.3.10 より前の 7.x、および 7.4.5 より前の 7.4.x の Usage Insights HTTP API エンドポイントの 1 つに、認証なしでアクセスできます。これにより、認証されていないユーザーが無制限の数のリクエストをエンドポイントに送信し、Grafana Enterprise インスタンスに対するサービス拒否 (DoS) 攻撃を引き起こす可能性があります。(CVE-2021-28148)

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:2675-1 advisory.

  - Grafana Enterprise 7.2.x and 7.3.x before 7.3.10 and 7.4.x before 7.4.5 allows a dashboard editor to     bypass a permission check concerning a data source they should not be able to access. (CVE-2021-27962)

  - The team sync HTTP API in Grafana Enterprise 7.4.x before 7.4.5 has an Incorrect Access Control issue. On     Grafana instances using an external authentication service, this vulnerability allows any authenticated     user to add external groups to existing teams. This can be used to grant a user team permissions that the     user isn't supposed to have. (CVE-2021-28146)

  - The team sync HTTP API in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5     has an Incorrect Access Control issue. On Grafana instances using an external authentication service and     having the EditorsCanAdmin feature enabled, this vulnerability allows any authenticated user to add     external groups to any existing team. This can be used to grant a user team permissions that the user     isn't supposed to have. (CVE-2021-28147)

  - One of the usage insights HTTP API endpoints in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10,     and 7.4.x before 7.4.5 is accessible without any authentication. This allows any unauthenticated user to     send an unlimited number of requests to the endpoint, leading to a denial of service (DoS) attack against     a Grafana Enterprise instance. (CVE-2021-28148)

  - Prometheus is an open-source monitoring system and time series database. In 2.23.0, Prometheus changed its     default UI to the New ui. To ensure a seamless transition, the URL's prefixed by /new redirect to /. Due     to a bug in the code, it is possible for an attacker to craft an URL that can redirect to any other URL,     in the /new endpoint. If a user visits a prometheus server with a specially crafted address, they can be     redirected to an arbitrary URL. The issue was patched in the 2.26.1 and 2.27.1 releases. In 2.28.0, the     /new endpoint will be removed completely. The workaround is to disable access to /new via a reverse proxy     in front of Prometheus. (CVE-2021-29622)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Prometheus reports :

Prometheus is an open-source monitoring system and time series database. In 2.23.0, Prometheus changed its default UI to the New ui.
To ensure a seamless transition, the URL's prefixed by /new redirect to /. Due to a bug in the code, it is possible for an attacker to craft an URL that can redirect to any other URL, in the /new endpoint.
If a user visits a prometheus server with a specially crafted address, they can be redirected to an arbitrary URL. The issue was patched in the 2.26.1 and 2.27.1 releases. In 2.28.0, the /new endpoint will be removed completely. The workaround is to disable access to /new via a reverse proxy in front of Prometheus.

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1162-1 advisory.

  - Grafana Enterprise 7.2.x and 7.3.x before 7.3.10 and 7.4.x before 7.4.5 allows a dashboard editor to     bypass a permission check concerning a data source they should not be able to access. (CVE-2021-27962)

  - The team sync HTTP API in Grafana Enterprise 7.4.x before 7.4.5 has an Incorrect Access Control issue. On     Grafana instances using an external authentication service, this vulnerability allows any authenticated     user to add external groups to existing teams. This can be used to grant a user team permissions that the     user isn't supposed to have. (CVE-2021-28146)

  - The team sync HTTP API in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5     has an Incorrect Access Control issue. On Grafana instances using an external authentication service and     having the EditorsCanAdmin feature enabled, this vulnerability allows any authenticated user to add     external groups to any existing team. This can be used to grant a user team permissions that the user     isn't supposed to have. (CVE-2021-28147)

  - One of the usage insights HTTP API endpoints in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10,     and 7.4.x before 7.4.5 is accessible without any authentication. This allows any unauthenticated user to     send an unlimited number of requests to the endpoint, leading to a denial of service (DoS) attack against     a Grafana Enterprise instance. (CVE-2021-28148)

  - Prometheus is an open-source monitoring system and time series database. In 2.23.0, Prometheus changed its     default UI to the New ui. To ensure a seamless transition, the URL's prefixed by /new redirect to /. Due     to a bug in the code, it is possible for an attacker to craft an URL that can redirect to any other URL,     in the /new endpoint. If a user visits a prometheus server with a specially crafted address, they can be     redirected to an arbitrary URL. The issue was patched in the 2.26.1 and 2.27.1 releases. In 2.28.0, the     /new endpoint will be removed completely. The workaround is to disable access to /new via a reverse proxy     in front of Prometheus. (CVE-2021-29622)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Prometheusによる報告：

Prometheusは、オープンソースのモニタリングシステムおよび時系列データベースです。2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。
シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。
ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheusの前にあるリバースプロキシを介して/newへのアクセスを無効にすることです。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1162-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana Enterprise 7.2.x および 7.3.x より前の 7.3.10 および 7.4.x より前の 7.4.5 により、ダッシュボードエディターは、アクセスできないはずのデータソースに関する権限チェックをバイパスできます。(CVE-2021-27962)

  - 7.4.5 より前の Grafana Enterprise 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用する Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28146)

  - 6.7.6 より前の Grafana Enterprise 6.x、7.3.10 前の 7.x、7.4.5 前の 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用し、EditorsCanAdmin 機能が有効な Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28147)

  - Grafana Enterprise 6.7.6 より前の 6.x、7.3.10 より前の 7.x、および 7.4.5 より前の 7.4.x の Usage Insights HTTP API エンドポイントの 1 つに、認証なしでアクセスできます。これにより、認証されていないユーザーが無制限の数のリクエストをエンドポイントに送信し、Grafana Enterprise インスタンスに対するサービス拒否 (DoS) 攻撃を引き起こす可能性があります。(CVE-2021-28148)

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
152553	openSUSE 15 Security Update : golang-github-prometheus-prometheus (openSUSE-SU-2021:2664-1)	Nessus	SuSE Local Security Checks	2021/8/13	2021/8/13	medium
255655	Linux Distros Unpatched Vulnerability : CVE-2021-29622	Nessus	Misc.	2025/8/26	2025/8/26	medium
255655	Linux Distros のパッチ未適用の脆弱性: CVE-2021-29622	Nessus	Misc.	2025/8/26	2025/8/26	medium
152553	openSUSE 15 セキュリティ更新 : golang-github-prometheus-prometheus (openSUSE-SU-2021:2664-1)	Nessus	SuSE Local Security Checks	2021/8/13	2021/8/13	medium
255655	Linux Distros 未修补的漏洞：CVE-2021-29622	Nessus	Misc.	2025/8/26	2025/8/26	medium
255655	Linux Distros 未修補的弱點：CVE-2021-29622	Nessus	Misc.	2025/8/26	2025/8/26	medium
152552	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools(openSUSE-SU-2021:2675-1)	Nessus	SuSE Local Security Checks	2021/8/13	2022/5/9	high
152552	openSUSE 15 Security Update : SUSE Manager Client Tools (openSUSE-SU-2021:2675-1)	Nessus	SuSE Local Security Checks	2021/8/13	2022/5/9	high
150091	FreeBSD : Prometheus -- arbitrary redirects (59ab72fb-bccf-11eb-a38d-6805ca1caf5c)	Nessus	FreeBSD Local Security Checks	2021/6/1	2023/12/28	medium
152647	openSUSE 15 Security Update : SUSE Manager Client Tools (openSUSE-SU-2021:1162-1)	Nessus	SuSE Local Security Checks	2021/8/18	2022/5/9	high
150091	FreeBSD：Prometheus -- 任意のリダイレクト（59ab72fb-bccf-11eb-a38d-6805ca1caf5c）	Nessus	FreeBSD Local Security Checks	2021/6/1	2023/12/28	medium
152647	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools(openSUSE-SU-2021:1162-1)	Nessus	SuSE Local Security Checks	2021/8/18	2022/5/9	high

检测

插件搜索

medium

medium

medium

medium

medium

medium

high

high

medium

high

medium

high