CVE-2022-43939
Hitachi Vantara Pentaho BA Server Authorization Bypass Vulnerability
Beschreibung
CVE-2022-43939 ist eine schwerwiegende Authentication-Bypass-Schwachstelle im Hitachi Vantara Pentaho Business Analytics (BA) Server. Die Schwachstelle entsteht durch die Verwendung nicht-kanonischer URL-Pfade fuer Autorisierungsentscheidungen, wodurch ein nicht authentifizierter Angreifer Sicherheitsbeschraenkungen umgehen kann. Mit einem CVSS v3.1-Score von 8.6 (HIGH) und einem netzwerkbasierten Angriffsvektor ohne Authentifizierung stellt diese Schwachstelle ein erhebliches Risiko dar.
Die CISA hat CVE-2022-43939 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Maerz 2025. Der ausserordentlich hohe EPSS-Score von 93.38 % (99.8. Perzentil) platziert diese Schwachstelle unter den am intensivsten ausgenutzten weltweit. In Kombination mit CVE-2022-43769 ermoeglicht sie eine vollstaendige unauthentifizierte Remote Code Execution.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| hitachi | vantara pentaho business analytics server | < 9.3.0.2; 9.4.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/172296/Pentaho-Business-Server-Authentication-Bypass-SSTI-Code-Execution.html(Exploit)
- https://support.pentaho.com/hc/en-us/articles/14455394120333--Resolved-Pentaho-BA-Server-Use-of-Non-Canonical-URL-Paths-for-Authorization-Decisions-Versions-before-9-4-0-1-and-9-3-0-2-including-8-3-x-Impacted-CVE-2022-43939-(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-43939(US Government Resource)
Schwachstellentyp
Unbekannter Schwachstellentyp
Fuer CVE-2022-43939 wurde bisher keine offizielle CWE-Klassifikation veroeffentlicht. Basierend auf der technischen Beschreibung handelt es sich um eine Verwendung nicht-kanonischer URL-Pfade fuer Autorisierungsentscheidungen, die funktional vergleichbar mit CWE-863 (Incorrect Authorization) ist. Bei dieser Schwachstellenklasse trifft die Anwendung Autorisierungsentscheidungen basierend auf URL-Pfaden, normalisiert diese Pfade jedoch nicht ordnungsgemaess.
Durch die Verwendung von URL-Encoding, Pfad-Traversal-Sequenzen oder alternativen Schreibweisen (z.B. doppelte Slashes, Punkt-Sequenzen) kann ein Angreifer die pfadbasierte Zugriffskontrolle umgehen und auf geschuetzte Ressourcen zugreifen, obwohl keine gueltige Authentifizierung vorliegt.
Auswirkungsanalyse
Die Auswirkungen von CVE-2022-43939 ergeben sich primaer aus der Umgehung der Zugriffskontrolle und der daraus folgenden Moeglichkeit, geschuetzte Funktionen des Pentaho BA Servers aufzurufen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H zeigt unterschiedlich gewichtete Auswirkungen. Vertraulichkeit (Niedrig): Der Authentication Bypass allein ermoeglicht begrenzten Zugriff auf geschuetzte Endpunkte und Informationen. Integritaet (Niedrig): Durch den unauthentifizierten Zugriff koennen begrenzte Aenderungen an Konfigurationen und Daten vorgenommen werden. Verfuegbarkeit (Hoch): Der unauthentifizierte Zugriff auf administrative Funktionen kann zur vollstaendigen Nichtverfuegbarkeit des BI-Servers fuehren.
Die eigentliche Gefahr dieser Schwachstelle liegt in der Kombination mit CVE-2022-43769 (SSTI). Gemeinsam ermoeglichen sie einem unauthentifizierten Angreifer die vollstaendige Remote Code Execution auf dem Pentaho-Server. Der EPSS-Score von 93.38 % (99.8. Perzentil) und oeffentlich verfuegbarer Exploit-Code bestaetigen die ausserordentlich hohe Bedrohungslage. Der Ransomware-Status ist als Unknown klassifiziert.
Exploit-Reifegrad
CVE-2022-43939 weist eine ausserordentlich hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Maerz 2025. Der EPSS-Score von 93.38 % (99.8. Perzentil) ist extrem hoch und signalisiert breitflaechige aktive Ausnutzung.
Oeffentlich verfuegbarer Exploit-Code existiert auf Packet Storm Security, der die vollstaendige Angriffskette aus Authentication Bypass (CVE-2022-43939) und Server-Side Template Injection (CVE-2022-43769) demonstriert. Hitachi Vantara hat eine Sicherheitsempfehlung veroeffentlicht. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Pentaho BA Server aktualisieren: Aktualisieren Sie den Hitachi Vantara Pentaho BA Server auf Version 9.4.0.1 oder 9.3.0.2 oder hoeher. Diese Versionen beheben sowohl CVE-2022-43939 als auch die verwandte CVE-2022-43769. Befolgen Sie die Anweisungen in der Hitachi Vantara Sicherheitsempfehlung.
-
Beide verwandten Schwachstellen gleichzeitig beheben: CVE-2022-43939 wird in Kombination mit CVE-2022-43769 ausgenutzt. Stellen Sie sicher, dass beide Schwachstellen durch das Update adressiert werden, um die vollstaendige Angriffskette aus Authentication Bypass und Remote Code Execution zu unterbrechen.
-
Web Application Firewall konfigurieren: Implementieren Sie WAF-Regeln, die nicht-kanonische URL-Pfade erkennen und blockieren. Konfigurieren Sie die WAF fuer URL-Normalisierung, um URL-Encoding, doppelte Slashes und Pfad-Traversal-Sequenzen vor der Autorisierungspruefung aufzuloesen.
-
Netzwerkzugriff beschraenken: Beschraenken Sie den Zugriff auf die Pentaho-Web-Schnittstelle durch Firewall-Regeln auf autorisierte IP-Adressen und Netzwerke. Der Pentaho BA Server sollte nicht direkt aus dem Internet erreichbar sein.
-
Zugriffslogs analysieren: Ueberpruefen Sie die Webserver-Logs auf Anzeichen von URL-Manipulationsversuchen, insbesondere auf nicht-kanonische Pfade mit URL-Encoding, doppelten Slashes oder Punkt-Sequenzen. Implementieren Sie Alarmregeln fuer verdaechtige URL-Muster im SIEM-System.
Technische Details
CVE-2022-43939 betrifft die Autorisierungslogik des Hitachi Vantara Pentaho Business Analytics Servers. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H zeigt einen netzwerkbasierten Angriff (AV:N) mit niedriger Komplexitaet (AC:L), ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N).
Die Schwachstelle liegt in der pfadbasierten Zugriffskontrolle des Pentaho BA Servers. Der Server verwendet URL-Pfade, um Autorisierungsentscheidungen zu treffen, normalisiert die eingehenden URLs jedoch nicht ordnungsgemaess in ihre kanonische Form. Durch die Verwendung nicht-kanonischer URL-Pfade, wie URL-kodierter Zeichen, Pfad-Traversal-Sequenzen oder alternativer Pfadschreibweisen, kann ein Angreifer die Zugriffskontrolle umgehen und auf geschuetzte Endpunkte zugreifen.
Diese Schwachstelle wird typischerweise in Kombination mit CVE-2022-43769 eingesetzt. Zunaechst umgeht der Angreifer ueber den nicht-kanonischen URL-Pfad die Authentifizierung und erhaelt Zugriff auf geschuetzte Web-Services. Anschliessend nutzt er die SSTI-Schwachstelle, um Spring-Template-Code in Property-Werte einzuschleusen und beliebigen Java-Code auf dem Server auszufuehren. Die Verfuegbarkeitsauswirkung (A:H) ist am hoechsten bewertet, da der unauthentifizierte Zugriff auf administrative Funktionen den gesamten BI-Server destabilisieren kann. Betroffen sind alle Pentaho BA Server-Versionen der 8.3.x-Reihe sowie alle Versionen vor 9.3.0.2 und 9.4.0.1.
Häufig gestellte Fragen
Kann CVE-2022-43939 ohne Authentifizierung ausgenutzt werden?
Ja, CVE-2022-43939 ermoeglicht die Umgehung der Authentifizierung ohne gueltige Zugangsdaten. Der CVSS-Vektor zeigt PR:N (No Privileges Required), was bedeutet, dass keine Authentifizierung erforderlich ist. Ein Angreifer muss lediglich Netzwerkzugriff auf den Pentaho BA Server haben.
Wie haengt CVE-2022-43939 mit CVE-2022-43769 zusammen?
Beide Schwachstellen werden als Angriffskette ausgenutzt: CVE-2022-43939 ermoeglicht die Umgehung der Authentifizierung ueber nicht-kanonische URL-Pfade, und CVE-2022-43769 ermoeglicht anschliessend die Codeausfuehrung ueber Server-Side Template Injection. Gemeinsam ergeben sie eine unauthentifizierte Remote Code Execution. Oeffentlicher Exploit-Code auf Packet Storm Security demonstriert diese Verkettung.
Welche Pentaho-Versionen sind betroffen?
Betroffen sind alle Pentaho BA Server-Versionen der 8.3.x-Reihe sowie alle Versionen vor 9.3.0.2 und 9.4.0.1. Aktualisieren Sie auf Version 9.3.0.2 oder 9.4.0.1 oder hoeher, um beide verwandten Schwachstellen zu beheben.
Was sind nicht-kanonische URL-Pfade?
Nicht-kanonische URL-Pfade sind alternative Darstellungen desselben URL-Pfads, die durch URL-Encoding, doppelte Slashes, Punkt-Sequenzen oder andere Techniken erzeugt werden. Wenn eine Anwendung Autorisierungsentscheidungen auf Basis von URL-Pfaden trifft, ohne diese zuvor zu normalisieren, kann ein Angreifer die Zugriffskontrolle umgehen, indem er den gleichen Endpunkt ueber einen alternativen Pfad aufruft.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.