最近の脆弱性 › CVE-2022-43769

Hitachi Vantara Pentaho Business Analytics (BA) Server の脆弱性（CVE-2022-43769）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2022-43769
製品	Hitachi Vantara Pentaho Business Analytics (BA) Server
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-03-03
米国政府機関の対応期限	2025-03-24
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-74

何が起きた

Hitachi Vantara Pentaho Business Analytics Server で、一部の Web サービスが設定ファイルの値に Spring テンプレートを書き込めてしまい、それが後で解釈されて任意の（攻撃者が好きに選べる）命令が実行されるおそれがある弱点が見つかりました。攻撃者はネットワーク経由で、管理者などの高い権限があれば悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Pentaho Business Analytics Server の 9.4.0.1 と 9.3.0.2 より前のバージョンを使っている組織が対象で、8.3.x も含まれます。CVE の記録では、9.4.0.0 と、9.3.0.2 より前の版が影響を受けるとされています。

何をすればいい

Pentaho の勧告に従って、9.5 以降に更新してください。9.4 系は Service Pack 9.4.0.1 以降、9.3 系は Service Pack 9.3.0.2 以降でも直ります。

やることチェックリスト

Pentahoを9.5以降に更新する
9.4系は9.4.0.1以降に更新する
9.3系は9.3.0.2以降に更新する

用語メモ

Spring テンプレート: Java の仕組み Spring で、文字列の中に書いた式を後から計算して埋め込む書き方です。
Web サービス: ネットワーク越しに呼び出して使える、サーバーの機能の窓口です。

元データ（英語・CISA KEV より）

Hitachi Vantara Pentaho BA Server Special Element Injection Vulnerability

概要

Hitachi Vantara Pentaho BA Server contains a special element injection vulnerability that allows an attacker to inject Spring templates into properties files, allowing for arbitrary command execution.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.