🇰🇷 한글 설명
Hitachi Vantara Pentaho Business Analytics Server의 특정 버전에서 웹 서비스를 통해 Spring 템플릿이 포함된 속성 값을 설정할 수 있는 취약점이 발견되었습니다. 이로 인해 설정된 템플릿이 다운스트림에서 해석되면서 원격 코드 실행(RCE) 등의 보안 위협이 발생할 수 있습니다.
💡 쉬운 설명
공격자가 특수한 명령어가 담긴 데이터를 서버에 보내면, 서버가 이를 정상적인 설정값으로 착각해 실행해버리는 문제입니다. 이를 통해 해커가 서버의 제어권을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Hitachi Vantara Pentaho Business Analytics Server prior to versions 9.4.0.1 and 9.3.0.2, including 8.3.x allow certain web services to set property values which contain Spring templates that are interpreted downstream.
📍 영향받는 시스템
Hitachi Vantara Pentaho Business Analytics Server 9.4.0.1 및 9.3.0.2 미만 버전 (8.3.x 포함)
⚔️ 공격 벡터
조작된 Spring 템플릿이 포함된 속성 값을 웹 서비스를 통해 전달하여 서버 내부에서 실행 유도
🛡️ 대응 방법
Pentaho Business Analytics Server를 9.4.0.1 또는 9.3.0.2 이상의 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 9.4.0.1 또는 9.3.0.2보다 낮은지 확인하여 취약 여부를 판단합니다.
grep -r "Pentaho" /opt/pentaho/version.txt 2>/dev/null || echo "Version file not found"