最近の脆弱性 › CVE-2022-43939

Hitachi Vantara Pentaho Business Analytics (BA) Server の脆弱性（CVE-2022-43939）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2022-43939
製品	Hitachi Vantara Pentaho Business Analytics (BA) Server
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-03-03
米国政府機関の対応期限	2025-03-24
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-647

何が起きた

Hitachi Vantara Pentaho Business Analytics Server で、URL の書き方を標準の形にそろえないまま権限の確認をしていたため、書き方を変えた URL で制限をすり抜けられる弱点が見つかりました。攻撃者はネットワーク経由で、ログインせずに悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Pentaho Business Analytics Server の 9.4.0.1 と 9.3.0.2 より前のバージョンを使っている組織が対象で、8.3.x も含まれます。CVE の記録では、9.4.0.0 と、9.3.0.2 より前の版が影響を受けるとされています。

何をすればいい

Pentaho の勧告に従って、9.5 以降に更新してください。9.4 系は 9.4.0.1 以降、9.3 系は Service Pack 9.3.0.2 以降でも直ります。すぐに更新できない場合は、製品のセキュリティ設定で、より厳しい認可のフィルターを定義すると和らげられると Pentaho は説明しています。

やることチェックリスト

Pentahoを9.5以降に更新する
9.4系は9.4.0.1、9.3系は9.3.0.2以降にする
すぐ更新できなければ認可のフィルターを厳しくする

用語メモ

URL: Web ページなどの場所を表す住所のような文字列です。
権限の確認: 利用者がその操作をしてよいかどうかを調べる仕組みです。

元データ（英語・CISA KEV より）

Hitachi Vantara Pentaho BA Server Authorization Bypass Vulnerability

概要

Hitachi Vantara Pentaho BA Server contains a use of non-canonical URL paths for authorization decisions vulnerability that enables an attacker to bypass authorization.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.