PT-2025-16914 · Hitachi Vantara · Hitachi Vantara Pentaho Data Integration & Analytics

CVE-2025-24907 · Publicado 2025-04-16 · Atualizado 2025-04-17

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Hitachi Vantara Pentaho Data Integration & Analytics versões anteriores à 10.2.0.2, incluindo 9.3.x e 8.3.x

Descrição O produto utiliza entrada externa para construir um caminho de arquivo que deveria estar dentro de um diretório restrito, mas não neutraliza adequadamente as sequências '.../...//' (sequência dupla de três pontos com barra) que podem resolver para um local fora desse diretório. Isso permite que atacantes naveguem pelo sistema de arquivos para acessar arquivos ou diretórios que estão fora do diretório restrito.

Recomendações Para versões anteriores à 10.2.0.2, incluindo 9.3.x e 8.3.x, atualize para a versão 10.2.0.2 ou posterior para resolver o problema. Como medida paliativa temporária, considere restringir o acesso à API CGG Draw para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-35

Identificadores relacionados

CVE-2025-24907

Produtos afetados

Hitachi Vantara Pentaho Data Integration & Analytics

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2025-24907 · Nota de Segurança
• https://twitter.com/CVEnew/status/1912722256230314480 · Publicação no Twitter
• https://t.me/cvedetector/23187 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1912831096963662062 · Publicação no Twitter
• https://t.me/cvetracker/21821 · Publicação no Telegram
• https://support.pentaho.com/hc/en-us/articles/35781624069005--Resolved-Hitachi-Vantara-Pentaho-Data-Integration-Analytics-Path-Traversal-Versions-before-10-2-0-2-including-9-3-x-Impacted-CVE-2025-24907 · Nota