Serwer raportowy Hitachi Vantara Pentaho pozwala ominąć kontrolę dostępu zmienionym zapisem adresu, a z drugą luką przejąć serwer. CISA potwierdza ataki. Zaktualizuj do 9.3.0.2 lub 9.4.0.1 i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które budują raporty i zestawienia na serwerze Hitachi Vantara Pentaho Business Analytics (BA) Server. Werdykt: jeśli Pentaho ma wersję starszą niż 9.3.0.2 lub 9.4.0.1, zaktualizuj go albo odetnij od internetu dziś, bo ta luka w połączeniu z CVE-2022-43769 prowadzi do przejęcia serwera, a CISA potwierdza ataki.
Amerykańska agencja CISA 3 marca 2025 roku dopisała do katalogu KEV podatność CVE-2022-43939 w serwerze raportowym Hitachi Vantara Pentaho BA Server. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia do katalogu trafiła bliźniacza luka CVE-2022-43769 w tym samym produkcie.
Serwer sprawdzał uprawnienia na podstawie adresu w postaci nieuporządkowanej. Ten sam zasób można zapisać na kilka sposobów, a kontrola dostępu i mechanizm, który faktycznie udostępnia zasób, odczytywały adres inaczej. Odpowiednio zapisany adres omijał więc kontrolę i dawał dostęp do chronionych funkcji bez konta. Druga luka pozwala zalogowanemu użytkownikowi wstrzyknąć szablon Spring wykonywany jako polecenie systemowe, więc razem tworzą drogę od anonimowego żądania do przejęcia serwera.
Poprawki są dostępne od kwietnia 2023 roku, prawie dwa lata przed potwierdzeniem ataków. Termin naprawy wyznaczony przez CISA minął 24 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2022-43939 |
Data dodania do CISA KEV | 2025-03-03 |
Termin naprawy wg CISA | 2025-03-24 (21 dni od wpisu) |
Produkt | Hitachi Vantara Pentaho Business Analytics (BA) Server, serwer raportów i analiz |
Wersje zagrożone | Wszystkie wersje przed 9.3.0.2 (w tym linia 8.3.x) oraz 9.4.0.0 przed 9.4.0.1 |
Wersje bezpieczne | 9.3.0.2 w linii 9.3 i 9.4.0.1 w linii 9.4 lub nowsze |
Typ podatności | Decyzje o uprawnieniach na podstawie niekanonicznej ścieżki URL, prowadzące do obejścia autoryzacji; CWE-647 (producent, KEV), NVD bez przypisanej klasy |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1, pełny wpływ). Producent i ENISA: 8.6 WYSOKA (niski wpływ na poufność i integralność, wysoki na dostępność). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie portiera, który ma listę osób wpuszczanych do serwerowni i porównuje ją z nazwiskiem wydrukowanym na przepustce, litera po literze. Zamek w drzwiach serwerowni rozpoznaje jednak nazwisko po uproszczeniu zapisu, na przykład bez spacji i wielkich liter. Wystarczy przepustka z nazwiskiem zapisanym trochę inaczej: portier nie znajduje go na liście zakazanych i przepuszcza, a zamek i tak otwiera drzwi.
Tak działał ten błąd. Aplikacja internetowa powinna najpierw doprowadzić adres do jednej, uporządkowanej postaci, a dopiero potem sprawdzić uprawnienia. W Pentaho kolejność była odwrotna. Adres z dodatkowymi znakami lub zakodowanymi fragmentami przechodził przez kontrolę dostępu, a potem trafiał do chronionej funkcji. Nie było tu łamania haseł, tylko dwa różne odczyty tej samej informacji.
💡 Serwer raportowy (BI) pobiera dane z firmowych baz i tworzy z nich zestawienia i wykresy; zwykle ma zapisane hasła do tych baz. Kanoniczny adres to jedna, uporządkowana postać ścieżki URL. Wstrzyknięcie szablonu to przemycenie wyrażenia, które serwer wykona jako polecenie. Łańcuch luk to połączenie kilku błędów, z których każdy osobno wygląda na ograniczony. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba otwiera chronioną funkcję Pentaho | Dostaje ekran logowania | Zmieniony zapis adresu omija kontrolę dostępu |
Druga luka CVE-2022-43769 | Wymaga zalogowanego konta | Po obejściu kontroli daje wykonanie poleceń |
Hasła do baz danych zapisane w Pentaho | Chronione | Mogą trafić w ręce napastnika |
Ocena w raporcie skanera | Zawsze ta sama | Krytyczna lub wysoka, zależnie od źródła danych |
Narzędzie używane rzadko | Uważane za mało ważne | Niezałatany serwer z dostępem do źródeł danych |
źródło: https://unsplash.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga tylko dostępu sieciowego do serwera Pentaho, dlatego najbardziej zagrożone są instalacje dostępne z internetu. CISA ocenia go jako możliwy do zautomatyzowania, ze skutkiem częściowym, a publiczny kod ataku (Packet Storm, maj 2023) łączy obejście uwierzytelnienia z wykonaniem kodu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie serwerów Pentaho i ustalanie wersji | Lista podatnych serwerów |
2. Obejście kontroli | T+sekundy | Wysłanie żądania ze zmienionym zapisem adresu (CVE-2022-43939) | Dostęp do chronionych funkcji bez konta |
3. Wykonanie kodu | T+minuty | Wstrzyknięcie szablonu Spring w ustawieniach (CVE-2022-43769) | Polecenia wykonywane na serwerze |
4. Kradzież haseł | T+godziny | Odczyt połączeń do baz danych zapisanych w Pentaho | Dostęp do źródeł danych firmy |
5. Rozszerzenie | T+dni | Wejście do baz sprzedażowych, finansowych i kadrowych | Wyciek danych, dalszy ruch w sieci |
6. Wykorzystanie | T+tygodnie | Sprzedaż danych, szantaż lub przygotowanie szyfrowania | Straty finansowe i reputacyjne |
Mogę Ci jakoś pomóc?
Serwer raportowy rzadko sam zawiera najcenniejsze dane, ale prawie zawsze ma klucze do baz, z których je pobiera. Luka nie wymaga hasła, atak jest zautomatyzowany, a w łańcuchu z drugą luką kończy się przejęciem serwera. Do tego łatwo ją przeoczyć, bo różne źródła oceniają ją jako krytyczną albo tylko wysoką.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie serwera raportowego, przebudowa, zmiana haseł do wszystkich źródeł danych | Dni | 20 tys. do 150 tys. PLN (prace IT, brak raportów) |
Bezpieczeństwo danych | Wyciek danych sprzedażowych, finansowych i kadrowych z połączonych baz | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utrata przewagi w negocjacjach, koszty specjalistów, ewentualny okup | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, których dane wyciekły | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Pentaho BA Server
starszym niż 9.3.0.2 / 9.4.0.1, dostępnym z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (atak bez logowania, zautomatyzowany, publiczny kod, potwierdzone ataki), a wpływ wysoki, bo sama luka daje dostęp częściowy (ocena CISA), ale w łańcuchu z CVE-2022-43769 prowadzi do przejęcia serwera i haseł do baz; serwer zaktualizowany i niedostępny z internetu jest poza zasięgiem tego ataku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie działa Pentaho BA Server i w jakiej wersji | Dziś | Administrator IT / zespół BI |
2 | 🔴 NATYCHMIAST | Jeśli wersja jest za stara: zablokować dostęp do serwera z internetu, zostawić tylko sieć firmową lub VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować do 9.3.0.2 lub 9.4.0.1 albo nowszej wersji wspieranej przez producenta | Do 3 dni | Zespół BI / partner |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem włamania: zmiany w plikach ustawień, nieznane konta i procesy | Do 7 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła do baz danych i usług zapisane w Pentaho | Do 7 dni | Administrator baz danych |
6 | 🟠 PILNIE | Ograniczyć uprawnienia kont, którymi Pentaho łączy się z bazami, do samego odczytu potrzebnych danych | Do 7 dni | Administrator baz danych |
7 | 🟡 WAŻNIE | Ocenić, czy serwer jest nadal potrzebny, a jeśli nie, wycofać go | Do 30 dni | CTO / CFO |
Producent wydał poprawione wersje w 2023 roku, a CISA dopuszcza albo zastosowanie środków producenta, albo zaprzestanie używania produktu. Jeśli aktualizacja wymaga czasu, pomagają poniższe środki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera od internetu, dostęp tylko z sieci firmowej lub przez VPN | Wysoka wobec ataków z zewnątrz | Łatwa do średniej |
Wycofanie serwera, jeśli raporty mogą powstawać inaczej | Wysoka | Średnia |
Ograniczenie uprawnień kont do baz danych | Średnia: zmniejsza skutki przejęcia | Średnia |
Monitorowanie żądań z nietypowo zapisanymi adresami i zmian w ustawieniach | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kontrola dostępu | Omijana zmienionym zapisem adresu | Działa na uporządkowanym adresie |
Dostęp z internetu | Otwarty | Tylko z sieci firmowej lub VPN |
Hasła do baz danych | Mogły wyciec | Zmienione, konta z minimalnymi uprawnieniami |
Priorytety aktualizacji | Tylko według „krytyczne” w skanerze | Także według obecności w katalogu CISA KEV |
Zgodność z wymogami | Zaległość wobec terminu CISA z 24 marca 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD; 8.6 WYSOKA wg producenta i ENISA (CVSS 3.1) |
PoC dostępny publicznie? | TAK, Packet Storm (maj 2023): obejście uwierzytelnienia i wstrzyknięcie szablonu prowadzące do wykonania kodu |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | TAK (ocena CISA), skutek techniczny częściowy |
Powiązana luka | CVE-2022-43769 (wstrzyknięcie szablonów Spring, wykonanie poleceń po zalogowaniu), w KEV od 3 marca 2025 roku |
Prognoza EPSS | Około 0,92, górne 0,2% wszystkich podatności (wg analizy źródłowej) |
Prawie dwa lata między poprawką a wpisem do katalogu CISA pokazują, że łatanie dopiero „gdy zrobi się głośno” zawsze oznacza łatanie po czasie.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2022-43939
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (producent) 8.6/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) ~92% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny exploit TAK ████████████████████ od maja 2023 2023-04-03 Publikacja CVE-2022-43939 i CVE-2022-43769 z poprawkami
2023-05 Publiczny kod ataku łączący obie luki (Packet Storm)
... prawie 2 lata bez potwierdzonych ataków w katalogu
2025-03-03 CISA dodaje obie luki do katalogu KEV
2025-03-24 Termin naprawy wg CISA dla agencji federalnych
... prawie 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z wersjami poprawionymi: Pentaho Support, CVE-2022-43939 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2022-43939 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner utrzymuje serwer Pentaho BA Server | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i dostępność serwera z internetu | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie serwera od internetu do czasu aktualizacji | CTO | DZISIAJ |
4 | Zatwierdzić aktualizację i zmianę haseł do baz danych zapisanych w Pentaho | CTO | DO JUTRA |
5 | Zdecydować, czy serwer raportowy jest nadal potrzebny | CFO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Ustalić z opiekunem IT, że luki z katalogu CISA KEV są łatane niezależnie od oceny CVSS | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy serwer Pentaho BA Server i jaka jest jego wersja? | [wersja] | 🔴 |
2 | Czy serwer Pentaho jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowaliśmy wersję 9.3.0.2, 9.4.0.1 lub nowszą? | [data] | 🔴 |
4 | Do jakich baz danych łączy się Pentaho i z jakimi uprawnieniami? | [lista] | 🟠 |
5 | Czy sprawdziliśmy serwer pod kątem zmian w plikach ustawień i nieznanych kont? | TAK / NIE | 🟠 |
6 | Czy nasz skaner podatności pokazuje tę lukę jako krytyczną czy wysoką? | [ocena] | 🟠 |
7 | Ile raportów miesięcznie faktycznie powstaje w Pentaho? | [liczba] | 🟡 |
CVE-2022-43939 pozwala ominąć kontrolę dostępu w Pentaho BA Server zmienionym zapisem adresu, a w łańcuchu z CVE-2022-43769 przejąć serwer i hasła do firmowych baz. Poprawki są dostępne od 2023 roku, publiczny kod ataku istnieje, a CISA potwierdza ataki, więc aktualizacja lub odcięcie serwera od internetu i zmiana haseł to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.