• ひとことでHitachi Vantara Pentaho BA Server で、設定に仕込んだ命令を実行される弱点です。
  • 深刻度7.2 重要CVSS v3.1
  • まずやることPentahoを9.5以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2022-43769
製品Hitachi Vantara Pentaho Business Analytics (BA) Server
深刻度（CVSS）7.2 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-03-03
米国政府機関の対応期限2025-03-24
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-74（インジェクション）

何が起きた

Hitachi Vantara Pentaho Business Analytics Server で、一部の Web サービスが設定ファイルの値に Spring テンプレートを書き込めてしまい、それが後で解釈されて任意の（攻撃者が好きに選べる）命令が実行されるおそれがある弱点が見つかりました。攻撃者はネットワーク経由で、管理者などの高い権限があれば悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が高い権限でサーバーに接続する → 2. Web サービスで設定の値を書き換える → 3. Spring テンプレートが解釈される → 4. 任意の命令が実行される1攻撃者が高い権限でサーバーに接続する2Web サービスで設定の値を書き換える3Spring テンプレートが解釈される4任意の命令が実行される攻撃の流れ: 1. 攻撃者が高い権限でサーバーに接続する → 2. Web サービスで設定の値を書き換える → 3. Spring テンプレートが解釈される → 4. 任意の命令が実行される1攻撃者が高い権限でサーバーに接続する2Web サービスで設定の値を書き換える3Spring テンプレートが解釈される4任意の命令が実行される攻撃の流れ: 1. 攻撃者が高い権限でサーバーに接続する → 2. Web サービスで設定の値を書き換える → 3. Spring テンプレートが解釈される → 4. 任意の命令が実行される1攻撃者が高い権限でサーバーに接続する2Web サービスで設定の値を書き換える3Spring テンプレートが解釈される4任意の命令が実行される

誰が影響を受ける

Pentaho Business Analytics Server の 9.4.0.1 と 9.3.0.2 より前のバージョンを使っている組織が対象で、8.3.x も含まれます。CVE の記録では、9.4.0.0 と、9.3.0.2 より前の版が影響を受けるとされています。

何をすればいい

Pentaho の勧告に従って、9.5 以降に更新してください。9.4 系は Service Pack 9.4.0.1 以降、9.3 系は Service Pack 9.3.0.2 以降でも直ります。

やることチェックリスト

  • Pentahoを9.5以降に更新する
  • 9.4系は9.4.0.1以降に更新する
  • 9.3系は9.3.0.2以降に更新する

用語メモ

Spring テンプレート
Java の仕組み Spring で、文字列の中に書いた式を後から計算して埋め込む書き方です。
Web サービス
ネットワーク越しに呼び出して使える、サーバーの機能の窓口です。

次に読む

同じ製品・メーカーの脆弱性Hitachi Vantara Pentaho Business Analytics (BA) Server（CVE-2022-43939）9.8 緊急CVSS v3.1Hitachi Vantara Pentaho BA Server で、URL の書き方を変えて権限確認をすり抜けられる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Hitachi Vantara Pentaho BA Server Special Element Injection Vulnerability

概要

Hitachi Vantara Pentaho BA Server contains a special element injection vulnerability that allows an attacker to inject Spring templates into properties files, allowing for arbitrary command execution.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る