RHEL 8：Red Hat OpenShift Service Mesh 1.0 servicemesh-grafana (RHSA-2020: 2861)
high Nessus Plugin ID 138178
語系：
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。說明
遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 2861 公告中提及的多個弱點影響。- kubernetes：YAML 剖析容易受到 Billion Laughs 攻擊並發生遠端拒絕服務 (CVE-2019-11253)
- grafana：XSS 註釋快顯弱點 (CVE-2020-12052)
- grafana：透過 column.title 或 cellLinkTooltip 造成 XSS (CVE-2020-12245)
- grafana：SSRF 中存在不正確存取控制弱點，未經驗證的使用者可利用此弱點造成 grafana 將 HTTP 要求傳送至任何 URL (CVE-2020-13379)
- grafana：OpenTSDB 資料來源導致的 XSS (CVE-2020-13430)
- npm-serialize-javascript：遠端攻擊者可透過 index.js 內的 deleteFunctions 函式插入任意程式碼 (CVE-2020-7660)
- npmjs-websocket-extensions: Sec-WebSocket-Extensions 剖析器中存在 ReDoS 弱點 (CVE-2020-7662)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。
解決方案
更新受影響的 servicemesh-grafana 和/或 servicemesh-grafana-prometheus 套件。另請參閱
https://bugzilla.redhat.com/1848108
https://bugzilla.redhat.com/1848643
https://access.redhat.com/security/cve/CVE-2019-11253
https://access.redhat.com/security/cve/CVE-2020-7660
https://access.redhat.com/security/cve/CVE-2020-7662
https://access.redhat.com/security/cve/CVE-2020-12052
https://access.redhat.com/security/cve/CVE-2020-12245
https://access.redhat.com/security/cve/CVE-2020-13379
https://access.redhat.com/security/cve/CVE-2020-13430
https://access.redhat.com/errata/RHSA-2020:2861
https://bugzilla.redhat.com/1757701
https://bugzilla.redhat.com/1843640
https://bugzilla.redhat.com/1844228
Plugin 詳細資訊
嚴重性: High
ID: 138178
檔案名稱: redhat-RHSA-2020-2861.nasl
版本: 1.10
類型: local
代理程式: unix
已發布: 2020/7/7
已更新: 2023/1/23
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: Medium
基本分數: 6.8
時間分數: 5.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2020-7660
CVSS v3
風險因素: High
基本分數: 8.2
時間分數: 7.4
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2020-13379
弱點資訊
CPE: cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:servicemesh-grafana, p-cpe:/a:redhat:enterprise_linux:servicemesh-grafana-prometheus
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2020/7/7
弱點發布日期: 2019/10/16
參考資訊
CVE: CVE-2019-11253, CVE-2020-12052, CVE-2020-12245, CVE-2020-13379, CVE-2020-13430, CVE-2020-7660, CVE-2020-7662