远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-4682 公告中提及的多个漏洞的影响。

  - 在 6.7.3 及之前的 Grafana 版本中发现一个信息泄露缺陷 。数据库目录 /var/lib/grafana 和数据库文件 /var/lib/grafana/grafana.db 为全局可读。这会导致敏感信息暴露（如明文或加密的数据源密码）。(CVE-2020-12458)

  - Grafana 6.7.3 之前的版本允许通过 column.title 或 cellLinkTooltip 支持 table-panel XSS。(CVE-2020-12245)

  - Grafana 6.4.3 及之前的版本存在一个任意文件读取漏洞，经过身份验证且拥有修改数据源配置权限的攻击者会利用此漏洞。(CVE-2019-19499)

  - Grafana 7.0.0 之前的版本允许通过 OpenTSDB 数据源支持标签值 XSS。(CVE-2020-13430)

  - Grafana 5.3.1 通过 Dashboard > Table Panel 屏幕上的列样式造成 XSS 漏洞。注意：此问题是因对 CVE-2018-12099 的修复不完整所致。(CVE-2018-18624)

  - Grafana 6.7.1 及之前的版本允许存储的 XSS，这是 originalUrl 字段中的输入保护不足所致，该漏洞允许攻击者注入 JavaScript 代码，以在访问快照后点击 Open Original Dashboard 后执行。(CVE-2020-11110)

  - Grafana 6.7.3 之前的版本易受注释弹出 XSS 的影响。(CVE-2020-12052)

  - 在 Grafana 6.x 至 6.3.6 版本的某些 Red Hat 程序包中，配置文件 /etc/grafana/grafana.ini 和 /etc/grafana/ldap.toml（包含 secret_key 和 bind_password）为全局可读。(CVE-2020-12459)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

运行 MAIN 6.02 版本的远程 NewStart CGSL 主机上安装的 grafana 程序包受到多个漏洞的影响：

  - 在 6.7.3 及之前的 Grafana 版本中发现一个信息泄露缺陷 。数据库目录 /var/lib/grafana 和数据库文件 /var/lib/grafana/grafana.db 为全局可读。这会导致敏感信息暴露（如明文或加密的数据源密码）。(CVE-2020-12458)

  - 在 Grafana 6.x 至 6.3.6 版本的某些 Red Hat 程序包中，配置文件 /etc/grafana/grafana.ini 和 /etc/grafana/ldap.toml（包含 secret_key 和 bind_password）为全局可读。(CVE-2020-12459)

  - Grafana 6.7.3 之前的版本易受注释弹出 XSS 的影响。(CVE-2020-12052)

  - Grafana 7.0.0 之前的版本允许通过 OpenTSDB 数据源支持标签值 XSS。(CVE-2020-13430)

  - Grafana 5.3.1 通过 Dashboard > Table Panel 屏幕上的列样式造成 XSS 漏洞。注意：此问题是因对 CVE-2018-12099 的修复不完整所致。(CVE-2018-18624)

  - Grafana 6.7.3 之前的版本允许通过 column.title 或 cellLinkTooltip 支持 table-panel XSS。(CVE-2020-12245)

  - Grafana 6.7.1 及之前的版本允许存储的 XSS，这是 originalUrl 字段中的输入保护不足所致，该漏洞允许攻击者注入 JavaScript 代码，以在访问快照后点击 Open Original Dashboard 后执行。(CVE-2020-11110)

  - Grafana 6.4.3 及之前的版本存在一个任意文件读取漏洞，经过身份验证且拥有修改数据源配置权限的攻击者会利用此漏洞。(CVE-2019-19499)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2020: 4682 公告中提及的多个漏洞的影响。

  - grafana：通过 Dashboard > Table Panel 屏幕上的列样式造成 XSS 漏洞 (CVE-2018-18624)

  - grafana：通过 MySQL 数据源读取任意文件 (CVE-2019-19499)

  - grafana：存储型 XSS (CVE-2020-11110)

  - grafana：XSS 注释弹出漏洞 (CVE-2020-12052)

  - grafana：通过 column.title 或 cellLinkTooltip 造成的 XSS (CVE-2020-12245)

  - grafana：通过全局可读的 /var/lib/grafana/grafana.db 造成信息泄露 (CVE-2020-12458)

  - grafana：通过全局可读的 grafana 配置文件造成的信息泄露 (CVE-2020-12459)

  - grafana：通过 OpenTSDB 数据源造成的 XSS (CVE-2020-13430)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 2861 公告中提及的多个漏洞的影响。

  - kubernetes：YAML 解析容易受到“Billion Laughs”攻击，此问题可导致远程拒绝服务 (CVE-2019-11253)

  - grafana：XSS 注释弹出漏洞 (CVE-2020-12052)

  - grafana：通过 column.title 或 cellLinkTooltip 造成的 XSS (CVE-2020-12245)

  - grafana：未经身份验证的用户可利用 SSRF 错误访问控制漏洞导致 grafana 向任意 URL 发送 HTTP 请求 (CVE-2020-13379)

  - grafana：通过 OpenTSDB 数据源造成的 XSS (CVE-2020-13430)

  - npm-serialize-javascript：允许远程攻击者通过 index.js 中的 deleteFunctions 函数注入任意代码 (CVE-2020-7660)

  - npmjs-websocket-extensions：Sec-WebSocket-Extensions 解析器中存在 ReDoS 漏洞 (CVE-2020-7662)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 4682 公告中提及的多个漏洞的影响。

  - grafana：通过 Dashboard > Table Panel 屏幕上的列样式造成 XSS 漏洞 (CVE-2018-18624)

  - grafana：通过 MySQL 数据源读取任意文件 (CVE-2019-19499)

  - grafana：存储型 XSS (CVE-2020-11110)

  - grafana：XSS 注释弹出漏洞 (CVE-2020-12052)

  - grafana：通过 column.title 或 cellLinkTooltip 造成的 XSS (CVE-2020-12245)

  - grafana：通过全局可读的 /var/lib/grafana/grafana.db 造成信息泄露 (CVE-2020-12458)

  - grafana：通过全局可读的 grafana 配置文件造成的信息泄露 (CVE-2020-12459)

  - grafana：通过 OpenTSDB 数据源造成的 XSS (CVE-2020-13430)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 2796 公告中提及的多个漏洞的影响。

  - kubernetes：YAML 解析容易受到“Billion Laughs”攻击，此问题可导致远程拒绝服务 (CVE-2019-11253)

  - npm-serialize-javascript：通过已序列化正则表达式中不安全字符造成的 XSS (CVE-2019-16769)

  - grafana：XSS 注释弹出漏洞 (CVE-2020-12052)

  - grafana：通过 column.title 或 cellLinkTooltip 造成的 XSS (CVE-2020-12245)

  - grafana：未经身份验证的用户可利用 SSRF 错误访问控制漏洞导致 grafana 向任意 URL 发送 HTTP 请求 (CVE-2020-13379)

  - grafana：通过 OpenTSDB 数据源造成的 XSS (CVE-2020-13430)

  - npm-serialize-javascript：允许远程攻击者通过 index.js 中的 deleteFunctions 函数注入任意代码 (CVE-2020-7660)

  - npmjs-websocket-extensions：Sec-WebSocket-Extensions 解析器中存在 ReDoS 漏洞 (CVE-2020-7662)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
142792	Oracle Linux 8：grafana (ELSA-2020-4682)	Nessus	Oracle Linux Local Security Checks	2020/11/12	2024/2/9	medium
147708	NewStart CGSL MAIN 6.02：grafana 多个漏洞 (NS-SA-2021-0066)	Nessus	NewStart CGSL Local Security Checks	2021/3/11	2024/1/9	medium
145918	CentOS 8：grafana (CESA-2020: 4682)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	medium
138178	RHEL 8：Red Hat OpenShift Service Mesh 1.0 servicemesh-grafana (RHSA-2020: 2861)	Nessus	Red Hat Local Security Checks	2020/7/7	2023/1/23	high
142416	RHEL 8：grafana (RHSA-2020: 4682)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/2/9	medium
138031	RHEL 8：Red Hat OpenShift Service Mesh servicemesh-grafana (RHSA-2020: 2796)	Nessus	Red Hat Local Security Checks	2020/7/1	2024/4/28	high

检测

插件搜索

medium

medium

medium

high

medium

high