Aktywnie wykorzystywana w atakach

Hitachi Vantara Pentaho BA Server Authorization Bypass Vulnerability

Hitachi Vantara - Pentaho Business Analytics (BA) Server · Figuruje w katalogu CISA KEV od 2025-03-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2022-43939

WysokieCVSS 8.6KEV

Opublikowano: 03/04/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Hitachi Vantara Pentaho Business Analytics Server w wersjach przed 9.4.0.1 i 9.3.0.2, w tym 8.3.x, zawiera ograniczenia bezpieczeństwa wykorzystujące niekanoniczne adresy URL, które mogą zostać obejści. Błąd pozwala na ominięcie tych ograniczeń.

Ocena ryzyka

Atakujący może obejść mechanizmy bezpieczeństwa, co może prowadzić do nieautoryzowanego dostępu do chronionych zasobów lub funkcji serwera.

Rekomendacja

Należy zaktualizować Hitachi Vantara Pentaho Business Analytics Server do wersji 9.4.0.1 lub 9.3.0.2 (lub nowszej).

Inne podatności w Hitachi Vantara Pentaho Business Analytics Server

CVE-2022-43769WysokieAktywnie exploitowane
Hitachi Vantara Pentaho Business Analytics Server w wersjach przed 9.4.0.1 i 9.3.0.2, w tym 8.3.x, pozwala niektórym usługom internetowym na ustawianie wartości właściwości zawierających szablony Spring, które są interpretowane w dalszym przetwarzaniu. Może to prowadzić do wstrzyknięcia szablonów po stronie serwera.

Oryginalny opis (angielski, źródło NVD)

Hitachi Vantara Pentaho Business Analytics Server versions before 9.4.0.1 and 9.3.0.2, including 8.3.x contain security restrictions using non-canonical URLs which can be circumvented.