CVE-2022-43769
Hitachi Vantara Pentaho BA Server Special Element Injection Vulnerability
Beschreibung
CVE-2022-43769 ist eine schwerwiegende Server-Side Template Injection (SSTI)-Schwachstelle im Hitachi Vantara Pentaho Business Analytics (BA) Server. Die Schwachstelle ermoeglicht es einem authentifizierten Angreifer, ueber bestimmte Web-Services Property-Werte zu setzen, die Spring-Templates enthalten und im weiteren Verarbeitungsprozess als ausfuehrbarer Code interpretiert werden. Mit einem CVSS v3.1-Score von 8.8 (HIGH) stellt diese Schwachstelle ein erhebliches Risiko fuer Business-Intelligence-Infrastrukturen dar.
Die CISA hat CVE-2022-43769 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Maerz 2025. Der ausserordentlich hohe EPSS-Score von 93.98 % (99.9. Perzentil) platziert diese Schwachstelle unter den Top 0.1 % der am intensivsten ausgenutzten weltweit. Betroffen sind alle Pentaho BA Server-Versionen vor 9.4.0.1 und 9.3.0.2, einschliesslich der 8.3.x-Reihe.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| hitachi | vantara pentaho business analytics server | >= 8.3.0.0, < 9.3.0.2; 9.4.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/172296/Pentaho-Business-Server-Authentication-Bypass-SSTI-Code-Execution.html(Exploit)
- https://support.pentaho.com/hc/en-us/articles/14455561548301--Resolved-Pentaho-BA-Server-Failure-to-Sanitize-Special-Elements-into-a-Different-Plane-Special-Element-Injection-Versions-before-9-4-0-1-and-9-3-0-2-including-8-3-x-Impacted-CVE-2022-43769-(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-43769(US Government Resource)
Schwachstellentyp
Unbekannter Schwachstellentyp
Fuer CVE-2022-43769 wurde bisher keine offizielle CWE-Klassifikation veroeffentlicht. Basierend auf der technischen Beschreibung handelt es sich um eine Server-Side Template Injection (SSTI)-Schwachstelle, die funktional vergleichbar mit CWE-94 (Improper Control of Generation of Code) ist. Bei SSTI-Schwachstellen werden Benutzereingaben in serverseitige Template-Engines eingeschleust und dort als Code interpretiert.
Im Fall von Pentaho BA Server werden Spring-Templates in Property-Werten verarbeitet, die ueber Web-Services gesetzt werden koennen. Da die Eingaben nicht ausreichend bereinigt werden, kann ein Angreifer schadhaften Template-Code einschleusen, der bei der Verarbeitung auf dem Server ausgefuehrt wird.
Auswirkungsanalyse
Die Auswirkungen von CVE-2022-43769 sind fuer Unternehmen mit Pentaho-basierten Business-Intelligence-Loesungen erheblich. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt eine umfassende Bedrohung bei niedrigem Authentifizierungsaufwand. Vertraulichkeit (Hoch): Ein erfolgreicher SSTI-Angriff ermoeglicht den Zugriff auf alle im Pentaho-Server gespeicherten Geschaeftsdaten, Datenbank-Verbindungsinformationen, BI-Reports und vertrauliche Analyseergebnisse. Integritaet (Hoch): Der Angreifer kann durch die Codeausfuehrung auf dem Server Daten manipulieren, Reports veraendern und Schadsoftware installieren. Verfuegbarkeit (Hoch): Der gesamte BI-Server kann gestoppt, ueberlastet oder fuer Ransomware-Angriffe kompromittiert werden.
Da Pentaho BA Server typischerweise Zugriff auf Unternehmensdatenbanken und Data Warehouses besitzt, kann eine Kompromittierung weitreichende Auswirkungen auf die gesamte Dateninfrastruktur haben. Der EPSS-Score von 93.98 % (99.9. Perzentil) und oeffentlich verfuegbarer Exploit-Code machen diese Schwachstelle zu einer akuten Bedrohung. Der Ransomware-Status ist als Unknown klassifiziert.
Exploit-Reifegrad
CVE-2022-43769 weist eine ausserordentlich hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Maerz 2025. Der EPSS-Score von 93.98 % (99.9. Perzentil) ist extrem hoch und signalisiert massive, aktive Ausnutzung.
Oeffentlich verfuegbarer Exploit-Code existiert unter anderem auf Packet Storm Security, der sowohl den Authentication Bypass (CVE-2022-43939) als auch die SSTI-Codeausfuehrung (CVE-2022-43769) als kombinierte Angriffskette demonstriert. Hitachi Vantara hat eine Sicherheitsempfehlung veroeffentlicht, die das Update auf die gepatchten Versionen empfiehlt. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Pentaho BA Server aktualisieren: Aktualisieren Sie den Hitachi Vantara Pentaho BA Server auf Version 9.4.0.1 oder 9.3.0.2 oder hoeher. Diese Versionen beheben sowohl CVE-2022-43769 als auch die verwandte CVE-2022-43939. Befolgen Sie die Anweisungen in der Hitachi Vantara Sicherheitsempfehlung.
-
Beide verwandten Schwachstellen adressieren: CVE-2022-43769 wird haeufig in Kombination mit CVE-2022-43939 (Authentication Bypass) ausgenutzt. Stellen Sie sicher, dass beide Schwachstellen gleichzeitig behoben werden, um die vollstaendige Angriffskette zu unterbrechen.
-
Web-Service-Zugriff einschraenken: Beschraenken Sie den Zugriff auf die Pentaho-Web-Services durch Netzwerksegmentierung und Firewall-Regeln. Implementieren Sie IP-basierte Zugriffsbeschraenkungen, um den Zugriff auf autorisierte Netzwerke zu limitieren.
-
Datenbankzugangsdaten rotieren: Da Pentaho BA Server typischerweise Datenbankverbindungen zu Unternehmenssystemen haelt, rotieren Sie alle in der Pentaho-Konfiguration hinterlegten Datenbankpasswoerter und Zugangsdaten nach dem Patching.
-
Forensische Analyse und Monitoring: Ueberpruefen Sie die Pentaho-Server-Logs auf Anzeichen einer Ausnutzung, insbesondere auf ungewoehnliche Property-Aenderungen ueber Web-Services und Spring-Template-Ausfuehrung. Implementieren Sie Application-Level-Monitoring fuer zukuenftige Angriffsversuche.
Technische Details
CVE-2022-43769 betrifft die Web-Service-Schnittstelle des Hitachi Vantara Pentaho Business Analytics Servers. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt einen netzwerkbasierten Angriff (AV:N) mit niedriger Komplexitaet (AC:L), der lediglich niedrige Berechtigungen (PR:L) erfordert und keine Benutzerinteraktion (UI:N) benoetigt.
Die Schwachstelle liegt in der Verarbeitung von Property-Werten, die ueber bestimmte Web-Services des Pentaho BA Servers gesetzt werden koennen. Diese Property-Werte werden im weiteren Verarbeitungsprozess durch die Spring Expression Language (SpEL) ausgewertet. Ein authentifizierter Angreifer kann schadhaften SpEL-Code in die Property-Werte einschleusen, der bei der Template-Verarbeitung auf dem Server ausgefuehrt wird. Diese Server-Side Template Injection ermoeglicht die Ausfuehrung beliebigen Java-Codes im Kontext des Pentaho-Serverprozesses.
Der Angriff wird haeufig in Kombination mit CVE-2022-43939 eingesetzt, die einen Authentication Bypass ueber nicht-kanonische URL-Pfade ermoeglicht. Durch diese Verkettung kann ein unauthentifizierter Angreifer zunaechst die Authentifizierung umgehen und anschliessend ueber die SSTI-Schwachstelle beliebigen Code ausfuehren. Betroffen sind Pentaho BA Server-Versionen 8.3.x sowie alle Versionen vor 9.3.0.2 und 9.4.0.1.
Häufig gestellte Fragen
Wird CVE-2022-43769 aktiv ausgenutzt?
Ja, die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. Oeffentlich verfuegbarer Exploit-Code auf Packet Storm Security demonstriert die vollstaendige Angriffskette. Der EPSS-Score von 93.98 % platziert diese Schwachstelle unter den Top 0.1 % der am intensivsten ausgenutzten weltweit.
Wie haengt CVE-2022-43769 mit CVE-2022-43939 zusammen?
Beide Schwachstellen betreffen den Pentaho BA Server und werden typischerweise als Angriffskette ausgenutzt. CVE-2022-43939 ermoeglicht einen Authentication Bypass ueber nicht-kanonische URL-Pfade, waehrend CVE-2022-43769 die eigentliche Code-Ausfuehrung ueber Server-Side Template Injection ermoeglicht. Gemeinsam ermoeglichen sie eine unauthentifizierte Remote Code Execution.
Welche Pentaho-Versionen sind betroffen?
Betroffen sind alle Pentaho BA Server-Versionen der 8.3.x-Reihe sowie alle Versionen vor 9.3.0.2 und 9.4.0.1. Aktualisieren Sie auf Version 9.3.0.2 oder 9.4.0.1 oder hoeher, um beide verwandten Schwachstellen zu beheben.
Was ist Server-Side Template Injection (SSTI)?
Bei SSTI werden Benutzereingaben in serverseitige Template-Engines eingeschleust und dort als Code interpretiert. Im Fall von CVE-2022-43769 werden Spring Expression Language (SpEL)-Ausdruecke in Property-Werte eingebettet, die der Server bei der Verarbeitung ausfuehrt. Dies ermoeglicht dem Angreifer die Ausfuehrung beliebigen Java-Codes auf dem Server.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.