AlmaLinux 9.2 [TuxCare] 安全性更新：grafana 多個弱點 （ALMALINUX9.2：CLSA-2026：1792757203）
high Nessus Plugin ID 371221
語言:
概要
AlmaLinux 主機缺少一個或多個安全性更新。說明
AlmaLinux 9.2 主機安裝的套件受到 TuxCare ALMALINUX9.2：CLSA-2026：1792757203 公告中提及的多個弱點影響。- Grafana OSS 和 Grafana Enterprise 在擷取外掛程式封存時，無法安全地解析符號連結。
特製的外掛程式封存可以鏈結相對符號連結項目以逸出外掛程式安裝目錄，在該目錄之外寫入任意檔案和可執行的後端二進位檔案。丟棄的可執行檔會以 Grafana 伺服器處理程序的權限執行，進而導致遠端程式碼執行。
外掛程式封存會在驗證其簽章之前擷取，因此有效的外掛程式簽章不會阻止寫入。因此，安裝看似合法的外掛程式，以及使用 grafana-cli、GF_INSTALL_PLUGINS 環境變數或預先安裝組態從任意封存安裝外掛程式，可能會影響操作員。Grafana Enterprise 會受到影響，因為它包含與 Grafana OSS 相同的外掛程式擷取程式碼。（CVE-2026-15815）
- Immutable.js 提供許多持續式不可變資料結構。在 3.8.3、4.3.7 和 5.1.5 之前的版本中，可透過 mergeDeep()、mergeDeepWith()、merge()、Map.toJS() 和 Map.toObject() API 在不可變項目中造成原型污染。此問題已在 3.8.3、4.3.7 和 5.1.5 版本中修正。
(CVE-2026-29063)
- 數個 Grafana API 端點 （其中一些未經驗證） 在處理要求內文之前不會限制要求內文的大小。攻擊者可傳送非常大的承載，強制配置過多的記憶體，進而耗盡記憶體並造成拒絕服務。（CVE-2026-33382）
- js-yaml 是一個 JavaScript YAML 剖析器和轉儲器。從之前3.15.0和之前4.3.0，4.0.03.0.0 js-yaml 可以花費二次 CPU 時間來剖析文件，當映射鏈使用合併鍵時，其大小僅線性增長，其中每個映射都合併前一個映射。此問題已在 3.15.0 和 4.3.0 版中修正。(CVE-2026-59869)
- js-yaml 是一個 JavaScript YAML 剖析器和轉儲器。在3.0.03.15.2處理合併索引鍵<<時，lib/js-yaml/loader.js 和 lib/loader.js 中的 from-until 、 4.3.2和 5.4.1maxTotalMergeKeys 不會計算空的對應來源。攻擊者可將大量空對應別名化為許多合併目標，造成 O（N * K） 處理，而 totalMergeKeys 保持不變，且永遠不會達到設定的資源限制。因此，相對較小的 YAML 文件可能會導致剖析不受信任 YAML 的應用程式長時間耗用 CPU，而這些版本行預設會啟用合併處理。
在 v3 和 v4 中，預設會啟用合併，因此嚴重性分數較高。此問題已在 、 4.3.2和 5.4.1版本中3.15.2修正。（CVE-2026-84375）
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 TuxCare 公告 ALMALINUX9.2：CLSA-2026：1792757203 中的指引更新受影響的 grafana 套件。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 371221
檔案名稱: tuxcare_alma_linux_9.2_CLSA-2026-1792757203.nasl
版本: 1.1
類型: Local
已發布: 2026/10/23
已更新: 2026/10/23
支援的感應器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.7
百分位數: 96.05
Vendor
Vendor Severity: Critical
CVSS v2
風險因素: Critical
基本分數: 10
時間性分數: 7.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2026-29063
CVSS v3
風險因素: Critical
基本分數: 9.8
時間性分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
風險因素: High
Base Score: 8.7
Threat Score: 7.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
弱點資訊
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/OS/extended-third-party
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/10/23
弱點發布日期: 2026/3/4
參考資訊
CVE: CVE-2026-15815, CVE-2026-29063, CVE-2026-33382, CVE-2026-59869, CVE-2026-84375
CLSA: 2026:1792757203