Spreparowana wartość ustawienia w Pentaho BA Server zamienia się w polecenie systemowe przy późniejszym odczycie. CISA potwierdza ataki, exploit jest publiczny. Ogranicz dostęp, uporządkuj konta i zaktualizuj.
Ten alert jest dla zarządu, CTO i CFO firm, które tworzą raporty i pulpity analityczne w Hitachi Vantara Pentaho Business Analytics (BA) Server. Werdykt: jeśli serwer ma wersję starszą niż 9.3.0.2 (linia 9.3) lub 9.4.0.1 (linia 9.4), w tym dowolną 8.3.x, zaktualizuj go w tym tygodniu, a dziś ogranicz dostęp z internetu i przejrzyj konta, bo luka pozwala wykonać polecenia na serwerze, który widzi dane sprzedaży, finansów i kadr naraz.
Amerykańska agencja CISA 3 marca 2025 roku dopisała podatność CVE-2022-43769 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Niektóre usługi sieciowe Pentaho BA Server pozwalają zapisać wartość ustawienia zawierającą szablon Spring, który serwer później interpretuje. W efekcie napastnik może wykonać dowolne polecenia na serwerze.
Tego samego dnia CISA dopisała drugą lukę w tym produkcie, CVE-2022-43939, pozwalającą obejść autoryzację. Poprawki istnieją od 2023 roku, a rekord luki opublikowano 3 kwietnia 2023 roku. Termin naprawy wg CISA minął 24 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2022-43769 (powiązana w KEV tego samego dnia: CVE-2022-43939) |
Data dodania do CISA KEV | 2025-03-03 |
Termin naprawy wg CISA | 2025-03-24 (21 dni od wpisu) |
Produkt | Hitachi Vantara Pentaho Business Analytics (BA) Server, serwer raportów i analityki biznesowej |
Wersje zagrożone | Wersje starsze niż 9.4.0.1 i 9.3.0.2, łącznie z linią 8.3.x (NVD: od 8.3.0.0 do wersji przed 9.3.0.2 oraz 9.4.0.0; europejska baza obejmuje także starsze wydania). Wymaga zalogowanego konta, wg producenta zwykłego, wg NVD administracyjnego |
Wersje bezpieczne | 9.4.0.1 (linia 9.4) i 9.3.0.2 (linia 9.3) oraz nowsze; zalecana najnowsza wersja wspierana przez producenta |
Typ podatności | Wstrzyknięcie elementów specjalnych (szablonów Spring) prowadzące do wykonania kodu; CWE-74 wg producenta, CWE-94 wg NVD |
Ocena CVSS | Hitachi Vantara: 8.8 (CVSS 3.1, WYSOKA, wystarczy zwykłe konto). NVD: 7.2 (CVSS 3.1, WYSOKA, wymagane uprawnienia administratora). Atak przez sieć, bez udziału użytkownika, pełny wpływ na dane |
Wyobraź sobie formularz, w którym wpisuje się nazwę oddziału firmy, np. „Poznań”. Ktoś zamiast nazwy wpisuje instrukcję. Przy zapisie nic się nie dzieje, formularz przyjmuje tekst. Instrukcja uruchamia się dopiero wtedy, gdy za tydzień ktoś wygeneruje raport, w którego nagłówku ta nazwa ma się pojawić, i drukarka zamiast nazwy wykonuje polecenie.
Tak działa ta luka. Pentaho pozwala przez usługi sieciowe zapisać wartość ustawienia. Serwer nie sprawdza, czy tekst zawiera wyrażenie rozpoznawane przez silnik szablonów Spring. Gdy inna część programu później tę wartość odczytuje, silnik wykonuje wyrażenie jako polecenie. Moment zapisu i moment wykonania dzielą godziny lub dni, więc trudno powiązać je w logach, a samo usunięcie napastnika nie usuwa zapisanego ładunku.
💡 Serwer BI (analityki biznesowej) zbiera dane z wielu systemów i tworzy z nich raporty. Szablon Spring to wyrażenie, które platforma Spring rozpoznaje i wykonuje przy przetwarzaniu tekstu. Właściwość (property) to zwykłe ustawienie zapisywane w pliku konfiguracyjnym. Wstrzyknięcie to przemycenie polecenia w miejscu, gdzie program spodziewa się zwykłych danych. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Użytkownik zapisuje ustawienie raportu | Serwer zapisuje tekst | Serwer zapisuje ukryte polecenie |
Generowanie raportu | Tworzy zestawienie | Uruchamia polecenie napastnika na serwerze |
Dostęp serwera do baz sprzedaży, finansów, kadr | Potrzebny do raportów | Dostępny dla napastnika |
Usunięcie konta napastnika | Kończy problem | Zapisany ładunek zostaje w konfiguracji |
Wymóg logowania | Ogranicza krąg osób | Osłabiony, bo tego dnia do KEV trafiła też luka obejścia autoryzacji (CVE-2022-43939) |
źródło: Pexels, Pavel DanilyukPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga zalogowanego konta, ale napastnik może je zdobyć przez przejęte hasło lub obejście autoryzacji; publiczny exploit wskazany w NVD łączy obejście uwierzytelnienia z wykonaniem kodu. CISA ocenia, że atak nie nadaje się do masowej automatyzacji, więc jest prowadzony ręcznie na wybrane cele.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Znalezienie serwera Pentaho dostępnego z internetu | Wybrany cel |
2. Dostęp do konta | T+godziny | Przejęte hasło użytkownika lub obejście autoryzacji | Możliwość wywołania usług sieciowych |
3. Zapis ładunku | T+minuty | Ustawienie wartości właściwości z szablonem Spring | Ukryte polecenie w konfiguracji |
4. Wykonanie | T+minuty do dni | Odczyt właściwości przez serwer i wykonanie polecenia | Kod napastnika na serwerze |
5. Kradzież danych | T+dni | Odczyt baz podpiętych do raportów: ceny, marże, klienci, kadry | Dane firmy u napastnika |
6. Uderzenie | T+tygodnie | Wyszukanie i usunięcie kopii zapasowych, szantaż lub sprzedaż danych | Wyciek i przestój |
Serwer raportowy z definicji widzi więcej niż jakikolwiek pracownik: sprzedaż, finanse, magazyn, a często kadry. Narzędzia analityczne wypadają przy tym z harmonogramów aktualizacji, bo raport generowany raz w miesiącu nie upomina się o uwagę. Poprawka istniała dwa lata, zanim CISA potwierdziła ataki, co pokazuje, jak wiele serwerów zostało niezaktualizowanych.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty serwer raportów, odtworzenie z kopii sprzed włamania, brak raportów zarządczych | Dni | 20 tys. do 150 tys. PLN (odtworzenie, przestój analityki) |
Bezpieczeństwo danych | Wyciek cenników, marż, danych klientów i pracowników z podpiętych baz | Dni | 30 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utrata przewagi cenowej, koszty incydentu, możliwy szantaż | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania kontrahentów, których warunki handlowe wyciekły | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin przy danych osobowych klientów lub pracowników; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; możliwe roszczenia kontrahentów z umów o poufności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Pentaho BA Server starszego niż
9.3.0.2 / 9.4.0.1, dostępnego z sieci
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo serwer ma dostęp do najcenniejszych danych firmy, a prawdopodobieństwo wysokie (EPSS ok. 97,7%, publiczny exploit, potwierdzone ataki); nie jest maksymalne, bo atak wymaga konta lub obejścia autoryzacji i jest prowadzony ręcznie na wybrane cele.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy firma używa Pentaho BA Server, i odczytać dokładną wersję | Dziś | Kierownik zespołu analityki / administrator |
2 | 🔴 NATYCHMIAST | Ograniczyć dostęp do serwera z internetu: tylko sieć firmy lub VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Przejrzeć listę kont w Pentaho, usunąć konta byłych pracowników i podwykonawców, zmienić hasła administratorów | Dziś | Administrator aplikacji |
4 | 🟠 PILNIE | Zaktualizować do 9.3.0.2, 9.4.0.1 lub nowszej wspieranej wersji, uwzględniając też poprawkę CVE-2022-43939 | Do 7 dni | Administrator / partner wdrożeniowy |
5 | 🟠 PILNIE | Przejrzeć pliki konfiguracyjne i logi usług sieciowych pod kątem nietypowych wartości ustawień i wyrażeń szablonów | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ograniczyć konta bazodanowe używane przez Pentaho do odczytu tylko potrzebnych danych | Do 30 dni | Administrator baz danych |
7 | 🟡 WAŻNIE | Dopisać narzędzia analityczne do stałego harmonogramu aktualizacji, z przypisaną osobą odpowiedzialną | Do 30 dni | CTO |
Producent wydał poprawione wersje 9.4.0.1 i 9.3.0.2, więc docelowo trzeba je wgrać. CISA dopuszcza alternatywnie zaprzestanie używania produktu. Poniższe miary tylko zmniejszają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do Pentaho tylko z sieci firmy lub przez VPN | Wysoka wobec napastników z internetu | Łatwa do średniej |
Usunięcie zbędnych kont i silne hasła z drugim składnikiem, jeśli dostępny | Średnia: utrudnia zdobycie konta, nie chroni przed obejściem autoryzacji | Łatwa |
Konta bazodanowe Pentaho tylko do odczytu i tylko potrzebnych tabel | Średnia: ogranicza skutki | Średnia |
Kopia zapasowa konfiguracji i danych przechowywana poza serwerem | Nie zapobiega atakowi, ale pozwala wrócić do czystego stanu | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Pentaho | Starsza niż 9.3.0.2 lub 9.4.0.1 | Wersja z poprawką |
Dostęp z internetu | Otwarty | Tylko sieć firmy lub VPN |
Konta w aplikacji | Także byłych pracowników i podwykonawców | Tylko aktywne, z nowymi hasłami |
Konfiguracja | Mogła zawierać ukryty ładunek | Sprawdzona lub przywrócona z czystej kopii |
Zgodność z terminem CISA | Zaległość sprzed prawie 18 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8/10 WYSOKA (CVSS 3.1, Hitachi Vantara i baza europejska); 7.2/10 WYSOKA (CVSS 3.1, NVD) |
PoC dostępny publicznie? | TAK, NVD wskazuje exploit w Packet Storm łączący obejście uwierzytelnienia z wykonaniem kodu |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA niemożliwa w formie masowej, atak prowadzony ręcznie; skutek techniczny całkowity |
Prognoza EPSS | Ok. 97,7% szansy próby wykorzystania w ciągu 30 dni, górne 0,1% luk (wg analizy źródłowej) |
Różnica 8.8 i 7.2 wynika tylko z oceny, jakie konto jest potrzebne do ataku. Planuj według surowszej wersji: zagrożeniem może być każde konto w Pentaho.
Sygnały zagrożenia dla CVE-2022-43769
CVSS 3.1 (Hitachi) 8.8/10 █████████████████░░░ WYSOKA
CVSS 3.1 (NVD) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~97,7% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny exploit TAK ████████████████████ wg NVD 2023-04-03 Publikacja CVE-2022-43769 w NVD, poprawki 9.4.0.1 i 9.3.0.2 w biuletynie producenta
... prawie 2 lata bez wpisu w KEV
2025-03-03 CISA dodaje CVE-2022-43769 i CVE-2022-43939 do katalogu KEV
2025-03-24 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: support.pentaho.com, CVE-2022-43769 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2022-43769 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma lub partner wdrożeniowy używa Pentaho BA Server i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie, że serwer nie jest dostępny z internetu | CTO | DZISIAJ |
3 | Zlecić przegląd i czyszczenie kont w Pentaho | CTO | DZISIAJ |
4 | Zatwierdzić termin aktualizacji do wersji z poprawką | CTO | DO JUTRA |
5 | Sprawdzić, czy umowa z partnerem wdrożeniowym obejmuje aktualizacje bezpieczeństwa | CFO | DO JUTRA |
6 | Ustalić, jakie dane (cenniki, marże, kadry) są dostępne dla serwera raportów | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd konfiguracji coś wykaże | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję Pentaho BA Server mamy? | [wersja] | 🔴 |
2 | Czy serwer Pentaho jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Ile kont jest w Pentaho i czy wszystkie należą do aktywnych osób? | [liczba] | 🔴 |
4 | Czy zainstalowano poprawki dla CVE-2022-43769 i CVE-2022-43939? | TAK / NIE | 🔴 |
5 | Czy sprawdzono konfigurację pod kątem nietypowych wartości ustawień? | TAK / NIE | 🟠 |
6 | Do jakich baz danych ma dostęp serwer raportów? | [lista] | 🟠 |
7 | Kiedy ostatnio aktualizowano Pentaho i kto zrobi to następnym razem? | [data] | 🟡 |
CVE-2022-43769 pozwala wykonać polecenia na serwerze Pentaho BA Server przez zapisanie spreparowanej wartości ustawienia, a publiczny exploit łączy ją z obejściem uwierzytelnienia. Poprawki istnieją od 2023 roku, CISA potwierdza ataki, więc dziś trzeba ograniczyć dostęp do serwera i uporządkować konta, a w tym tygodniu zaktualizować go do wersji 9.3.0.2, 9.4.0.1 lub nowszej.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.