遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 2796 公告中提及的多個弱點影響。

  - kubernetes：YAML 剖析容易受到 Billion Laughs 攻擊並發生遠端拒絕服務 (CVE-2019-11253)

  - npm-serialize-javascript：透過序列化規則運算式中的不安全字元取得的 XSS (CVE-2019-16769)

  - grafana：XSS 註釋快顯弱點 (CVE-2020-12052)

  - grafana：透過 column.title 或 cellLinkTooltip 造成 XSS (CVE-2020-12245)

  - grafana：SSRF 中存在不正確存取控制弱點，未經驗證的使用者可利用此弱點造成 grafana 將 HTTP 要求傳送至任何 URL (CVE-2020-13379)

  - grafana：OpenTSDB 資料來源導致的 XSS (CVE-2020-13430)

  - npm-serialize-javascript：遠端攻擊者可透過 index.js 內的 deleteFunctions 函式插入任意程式碼 (CVE-2020-7660)

  - npmjs-websocket-extensions: Sec-WebSocket-Extensions 剖析器中存在 ReDoS 弱點 (CVE-2020-7662)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

RHEL 8：Red Hat OpenShift Service Mesh servicemesh-grafana (RHSA-2020: 2796)

high Nessus Plugin ID 138031

版本 1.9