CVE-2022-43769
Hitachi Vantara Pentaho Business Analytics Server - Failure to Sanitize Special Elements into a Different Plane (Special Element Injection)
En resumen
El servidor Pentaho permite que atacantes inyecten código de plantilla de Spring a través de propiedades de servicios web, que se ejecutan posteriormente. Esto permite ejecutar código arbitrario en el servidor.
Detalle técnico
Vulnerabilidad CWE-74 (Inyección de Elemento Especial) en Pentaho que no sanitiza expresiones de plantilla Spring en valores de propiedades antes de su interpretación. Atacantes autenticados o no pueden inyectar plantillas maliciosas a través de puntos finales de servicio web afectados; el procesamiento posterior interpreta estas plantillas, resultando en ejecución remota de código con privilegios del servidor.
Resumen generado y traducido por IA a partir de la descripción oficial.
Hitachi Vantara Pentaho Business Analytics Server prior to versions 9.4.0.1 and 9.3.0.2, including 8.3.x allow certain web services to set property values which contain Spring templates that are interpreted downstream.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Hitachi Vantara · Pentaho Business Analytics ServerPoCs públicas encontradas — 2
cve_referencepacketstormsecurity.com/files/172296/Pentaho-Business-Server-Authentication-Bypass-SSTI-Code-Execution.htmlno verificadoexploitdbwww.exploit-db.com/exploits/51350no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →Referencias
http://packetstormsecurity.com/files/172296/Pentaho-Business-Server-Authentication-Bypass-SSTI-Code-Execution.htmlhttps://support.pentaho.com/hc/en-us/articles/14455561548301--Resolved-Pentaho-BA-Server-Failure-to-Sanitize-Special-Elements-into-a-Different-Plane-Special-Element-Injection-Versions-before-9-4-0-1-and-9-3-0-2-including-8-3-x-Impacted-CVE-2022-43769-https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-43769