PT-2021-19438 · Hitachi Vantara · Pentaho Business Intelligence Server+1
Publicado
2021-11-08
·
Atualizado
2021-11-09
·
CVE-2021-31599
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Hitachi Vantara Pentaho até a 9.1
Versões do Pentaho Business Intelligence Server até a 7.x
Descrição
Uma falha permite a inclusão de scripts BeanShell em arquivos de relatórios (.prpt) para facilitar a produção de relatórios complexos. Um usuário autenticado pode executar código arbitrário.
Recomendações
Para as versões do Hitachi Vantara Pentaho até a 9.1, considere restringir a capacidade de incluir scripts BeanShell em relatórios para minimizar o risco de exploração.
Para as versões do Pentaho Business Intelligence Server até a 7.x, considere desativar o recurso que permite a inclusão de scripts BeanShell em relatórios até que uma correção esteja disponível.
Como solução alternativa temporária, considere limitar o acesso a relatórios que incluem scripts BeanShell apenas ao pessoal necessário.
Exploit
Correção
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Hitachi Vantara Pentaho
Pentaho Business Intelligence Server