🇰🇷 한글 설명
Hitachi Vantara Pentaho Data Integration & Analytics의 특정 버전에서 JNDI 식별자 제한이 미흡하여 시스템 수준의 데이터 소스를 제어할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 민감한 파일이나 디렉토리에 접근하거나 수정할 수 있으며, 최종적으로 원격 코드 실행(RCE)까지 가능할 수 있습니다.
💡 쉬운 설명
대시보드를 만드는 과정에서 시스템의 중요한 정보를 불러오는 주소를 마음대로 조작할 수 있는 결함입니다. 이를 통해 해커가 서버의 중요한 파일을 훔치거나 서버를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
The product receives input from an upstream component, but it does not restrict or incorrectly restricts the input before it is used as an identifier for a resource that may be outside the intended sphere of control. (CWE-99)
Hitachi Vantara Pentaho Data Integration & Analytics versions before 10.2.0.0 and 9.3.0.9, including 8.3.x, do not restrict JNDI identifiers during the creation of Community Dashboards, allowing control of system-level data sources.
An attacker could gain access to or modify sensitive data or system resources. This could allow access to protected files or directories including configuration files and files containing sensitive information, which can lead to remote code execution by unauthorized users.
📍 영향받는 시스템
Hitachi Vantara Pentaho Data Integration & Analytics 10.2.0.0 및 9.3.0.9 미만 버전 (8.3.x 포함)
⚔️ 공격 벡터
커뮤니티 대시보드 생성 시 조작된 JNDI 식별자를 입력하여 시스템 자원에 접근
🛡️ 대응 방법
Pentaho Data Integration & Analytics를 10.2.0.0 또는 9.3.0.9 이상의 최신 버전으로 업데이트
🔧 검증 코드
설치된 패키지 목록에서 Pentaho 관련 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
rpm -qa | grep -i 'pentaho' || dpkg -l | grep -i 'pentaho' || python3 -c "import pkg_resources; print([d.project_name for d in pkg_resources.working_set if 'pentaho' in d.project_name.lower()])"