PT-2025-7409 · Hitachi Vantara · Hitachi Vantara Pentaho Business Analytics Server

CVE-2024-37359 · Publicado 2025-02-19 · Atualizado 2025-02-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Hitachi Vantara Pentaho Business Analytics Server versões anteriores a 10.2.0.0 Hitachi Vantara Pentaho Business Analytics Server versões anteriores a 9.3.0.9 Hitachi Vantara Pentaho Business Analytics Server versão 8.3.x

Descrição O servidor web recebe uma URL ou solicitação similar de um componente upstream e recupera o conteúdo dessa URL, mas não garante suficientemente que a solicitação está sendo enviada para o destino esperado. Ao fornecer URLs para hosts ou portas inesperados, os atacantes podem fazer parecer que o servidor está enviando a solicitação, possivelmente contornando controles de acesso, como firewalls, que impedem os atacantes de acessar as URLs diretamente. O servidor pode ser usado como um proxy para realizar varredura de portas de hosts em redes internas, utilizar outras URLs capazes de acessar documentos no sistema (usando file://), ou usar outros protocolos como gopher:// ou tftp://, o que pode fornecer maior controle sobre o conteúdo das solicitações.

Recomendações Para o Hitachi Vantara Pentaho Business Analytics Server versões anteriores a 10.2.0.0, atualize para a versão 10.2.0.0 ou posterior. Para o Hitachi Vantara Pentaho Business Analytics Server versões anteriores a 9.3.0.9, atualize para a versão 9.3.0.9 ou posterior. Para o Hitachi Vantara Pentaho Business Analytics Server versão 8.3.x, atualize para uma versão não afetada por este problema, como a versão 9.3.0.9 ou posterior. Como medida de contorno temporária, considere restringir o acesso ao servidor vulnerável para minimizar o risco de exploração.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BDU:2025-02156

CVE-2024-37359

Produtos afetados

Hitachi Vantara Pentaho Business Analytics Server

Referências · 9

• https://twitter.com/VulmonFeeds/status/1892458732006572108 · Publicação no Twitter
• https://t.me/cvedetector/18502 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1892743679187595279 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-37359 · Nota de Segurança
• https://support.pentaho.com/hc/en-us/articles/34296789835917--Resolved-Hitachi-Vantara-Pentaho-Business-Analytics-Server-Server-Side-Request-Forgery-Versions-before-10-2-0-0-and-9-3-0-9-including-8-3-x-Impacted-CVE-2024-37359 · Nota
• https://twitter.com/CVEnew/status/1892355485166104677 · Publicação no Twitter
• https://vuldb.com/?id.296343 · Nota
• https://bdu.fstec.ru/vul/2025-02156 · Nota de Segurança
• https://twitter.com/CveFindCom/status/1892356392318640567 · Publicação no Twitter