BDU:2023-01817

Опубликовано: 03 апр. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Критический

Описание

Уязвимость сервера бизнес-аналитики Hitachi Vantara Pentaho Business Analytics Server связана с неверной нейтрализацией особых элементов в выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды путём внедрения специально сформированных шаблонов Spring

Вендор

Hitachi, Ltd.

Наименование ПО

Hitachi Vantara Pentaho Business Analytics Server

Версия ПО

до 9.4.0.1 (Hitachi Vantara Pentaho Business Analytics Server)

до 9.3.0.2 (Hitachi Vantara Pentaho Business Analytics Server)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа;

- сегментирование сети для ограничения доступа к промышленному сегменту из других подсетей;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://support.pentaho.com/hc/en-us/articles/14455561548301--Resolved-Pentaho-BA-Server-Failure-to-Sanitize-Special-Elements-into-a-Different-Plane-Special-Element-Injection-Versions-before-9-4-0-1-and-9-3-0-2-including-8-3-x-Impacted-CVE-2022-43769-

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-43769
CVE

EPSS

Процентиль: 100%

0.93976

Критический

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2022-43769

CVSS3: 8.8

nvd

почти 3 года назад

Hitachi Vantara Pentaho Business Analytics Server prior to versions 9.4.0.1 and 9.3.0.2, including 8.3.x allow certain web services to set property values which contain Spring templates that are interpreted downstream.

GHSA-wc6x-gmp9-8p34

CVSS3: 7.2

github