高危

Hitachi Vantara Pentaho Business Analytics Server安全绕过漏洞

2023-04-03 18:10:32 公开，2026-02-27 03:27:22 更新

CISA KEV
关键漏洞
远程
无需认证
公开PoC

CWEs：: CWE-647 （Use of Non-Canonical URL Paths for Authorization Decisions）
CAPEC：: CAPEC-3 （Using Leading 'Ghost' Character Sequences to Bypass Input Filters）
SSVC：: 可利用状态：已被积极利用攻击自动化：是技术影响评估：部分 2025-03-04 04:12:20

风险信息

CVSS v3 向量: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3 风险值: 9.8
CVSS v3.1 向量: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
CVSS v3.1 风险值: 8.6

详细信息

漏洞类型: 其他
漏洞描述: Hitachi Vantara Pentaho Business Analytics Server 9.4.0.1和9.3.0.2之前的版本（包括8.3.x）可能允许远程攻击者绕过安全限制，这是由于在安全配置的授权过滤器中使用非规范URL造成的。通过发送特制的请求，攻击者可以利用此漏洞绕过授权并获得访问权限。
修复建议: 有关修补程序、升级或建议的解决方法信息，请参阅Pentaho网站。参考链接： https://support.pentaho.com/hc/en-us/articles/14455394120333--Resolved-Pentaho-BA-Server-Use-of-Non-Canonical-URL-Paths-for-Authorization-Decisions-Versions-before-9-4-0-1-and-9-3-0-2-including-8-3-x-Impacted-CVE-2022-43939

参考链接