CVE-2022-43939highbajo ataqueCWE-647

CVE-2022-43939: fallo de gravedad alta en Hitachi Vantara Pentaho Business Analytics…

Hitachi Vantara Pentaho Business Analytics Server - Use of Non-Canonical URL Paths for Authorization Decisions

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Pentaho Business Analytics Server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.6epss 92%
de la publicación al arma1 día
Publicada en NVD3 abr
1ª PoC+1d
metasploit+1d
CISA KEV+700d
Acción exigida por CISAplazo federal: 2025-03-24

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Pentaho Business Analytics Server utiliza URLs mal formateadas para verificar permisos, permitiendo que atacantes eludan las restricciones de seguridad mediante patrones de URL alternativos. Esto puede otorgar acceso no autorizado a características o datos sensibles.

Detalle técnico

La aplicación hace cumplir verificaciones de autorización basadas en rutas de URL no-canónicas, que pueden ser eludidas mediante solicitudes con codificaciones alternativas o patrones de traversal de rutas. Un atacante con acceso a la red puede enviar solicitudes malformadas para eludir controles de acceso y alcanzar recursos restringidos, afectando versiones anteriores a 9.4.0.1 y 9.3.0.2.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Hitachi Vantara Pentaho Business Analytics Server versions before 9.4.0.1 and 9.3.0.2, including 8.3.x contain security restrictions using non-canonical URLs which can be circumvented.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
Productos afectados
Hitachi Vantara · Pentaho Business Analytics Server
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Hitachi Vantara Pentaho Business Analytics…

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-43769HIGHHitachi Vantara Pentaho Business Analytics Server - Failure to Sanitize Special Elements into a Different Plane (Special Element Injection)EPSS 97.7%KEVCVE-2022-43938HIGHHitachi Vantara Pentaho Business Analytics Server - Improper Neutralization of Directives in Statically Saved Code ('Static Code Injection') EPSS 26.4%CVE-2022-43771MEDIUMHitachi Vantara Pentaho Business Analytics Server - Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') EPSS 23.9%CVE-2022-43773HIGHHitachi Vantara Pentaho Business Analytics Server - Incorrect Permission Assignment for Critical Resource EPSS 22.2%CVE-2024-5706HIGHHitachi Vantara Pentaho Data Integration & Analytics - Improper Control of Resource Identifiers ('Resource Injection')EPSS 0.7%CVE-2021-45448HIGHPentaho Business Analytics Server - Pentaho Analyzer plugin exposes a service endpoint for templates which allows a user supplied path to access resources that are out of bounds.EPSS 0.7%