🇰🇷 한글 설명
Hitachi Vantara Pentaho Data Integration & Analytics의 특정 버전에서 XActions 생성 시 JNDI 식별자를 제한하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 시스템 수준의 데이터 소스를 제어할 수 있는 위험이 있습니다.
💡 쉬운 설명
데이터를 연결하는 통로의 이름을 마음대로 바꿀 수 있는 허점이 있는 상태입니다. 이를 통해 해커가 시스템의 중요한 데이터 저장소에 접근하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Hitachi Vantara Pentaho Data Integration & Analytics versions before 9.5.0.1 and 9.3.0.5, including
8.3.x does not restrict JNDI identifiers during the creation of XActions, allowing control of system level data sources.
📍 영향받는 시스템
Hitachi Vantara Pentaho Data Integration & Analytics 9.5.0.1 및 9.3.0.5 미만 버전 (8.3.x 포함)
⚔️ 공격 벡터
XActions 생성 과정에서 조작된 JNDI 식별자를 주입하여 시스템 데이터 소스 제어권을 획득
🛡️ 대응 방법
Pentaho Data Integration & Analytics를 9.5.0.1 또는 9.3.0.5 이상의 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 설치된 Pentaho의 버전을 확인하여 취약한 버전 범위에 해당하는지 검토
rpm -qa | grep -i 'pentaho' || dpkg -l | grep -i 'pentaho'