🇰🇷 한글 설명
Hitachi Vantara Pentaho Business Analytics Server의 특정 버전에서 신뢰할 수 없는 JSON 데이터를 역직렬화할 때 검증이 부족하여 발생하는 취약점입니다. 공격자가 허용되지 않은 클래스나 메서드를 호출하는 가젯 체인을 활용하여 권한 없는 동작을 수행할 수 있습니다.
💡 쉬운 설명
프로그램이 외부에서 들어온 데이터를 읽어 들일 때, 그 데이터가 안전한지 제대로 확인하지 않아 발생하는 문제입니다. 나쁜 의도를 가진 데이터가 들어오면 해커가 시스템을 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
The application deserializes untrusted data without sufficiently verifying that the resulting data will be valid. (CWE-502)
Hitachi Vantara Pentaho Business Analytics Server versions before 10.2.0.0 and 9.3.0.9, including 8.3.x, deserialize untrusted JSON data without constraining the parser to approved classes and methods.
When developers place no restrictions on "gadget chains," or series of instances and method invocations that can self-execute during the deserialization process (i.e., before the object is returned to the caller), it is sometimes possible for attackers to leverage them to perform unauthorized actions.
📍 영향받는 시스템
Hitachi Vantara Pentaho Business Analytics Server 10.2.0.0 및 9.3.0.9 미만 버전 (8.3.x 포함)
⚔️ 공격 벡터
검증되지 않은 JSON 데이터를 전송하여 역직렬화 과정 중 가젯 체인을 실행하는 방식
🛡️ 대응 방법
Pentaho Business Analytics Server를 최신 보안 패치가 적용된 버전(10.2.0.0 또는 9.3.0.9 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 설치된 Pentaho의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
rpm -qa | grep -i pentaho || dpkg -l | grep -i pentaho