PT-2021-20643 · Hitachi Vantara · Pentaho Business Analytics

Publicado 2021-11-08 · Atualizado 2021-11-09 · CVE-2021-34684

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Hitachi Vantara Pentaho Business Analytics até a versão 9.1

Descrição:

A vulnerabilidade permite que um usuário não autenticado execute consultas SQL arbitrárias em qualquer fonte de dados do Pentaho, possibilitando assim a recuperação de dados de bancos de dados relacionados. Isso é demonstrado pela URI “api/repos/dashboards/editor”, que é um endpoint de API. O endpoint api/repos/dashboards/editor está vulnerável a essa falha, permitindo acesso não autorizado a dados confidenciais.

Recomendações:

Para as versões do Hitachi Vantara Pentaho Business Analytics até a 9.1, considere restringir o acesso ao ponto de extremidade da API api/repos/dashboards/editor até que um patch esteja disponível. Como solução alternativa temporária, limite a execução de consultas SQL arbitrárias em fontes de dados do Pentaho para impedir a recuperação não autorizada de dados.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-34684

Produtos afetados

Pentaho Business Analytics

Referências · 5

• 🔥 http://packetstormsecurity.com/files/164791/Pentaho-Business-Analytics-Pentaho-Business-Server-9.1-SQL-Injection.html · Exploit
• https://hitachi.com/hirt/security/index.html · Aviso do Fabricante
• https://t.me/cibsecurity/31950 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-34684 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-34684 · Nota de Segurança