CVE-2024-37359
Açıklama
Web sunucusu, üst akış bileşeninden bir URL veya benzeri bir istek alır ve bu URL'nin içeriğini getirir ancak isteğin beklenen hedefe gönderildiğinden yeterince emin olmaz. (CWE-918) 8.3.x dahil olmak üzere 10.2.0.0 ve 9.3.0.9 öncesi Hitachi Vantara Pentaho Business Analytics Server sürümleri, gelen HTTP/HTTPS isteklerinin Host başlığını doğrulamamaktadır. Saldırganlar, beklenmedik ana bilgisayarlara veya portlara yönelik URL'ler sağlayarak, isteğin sunucu tarafından gönderildiği izlenimini oluşturabilir ve böylece saldırganların URL'lere doğrudan erişmesini engelleyen güvenlik duvarları gibi erişim kontrollerini atlayabilirler. Sunucu; dahili ağlardaki ana bilgisayarların port taramasını yapmak için bir proxy olarak kullanılabilir, sistemdeki belgelere erişebilen file:// gibi diğer URL'leri kullanabilir veya isteklerin içeriği üzerinde daha fazla kontrol sağlayabilen gopher:// veya tftp:// gibi diğer protokolleri kullanabilir.
Nasıl düzeltilir
- Hitachi Vantara Pentaho Data Integration & Analytics10.2.0.0 ya da sonraki bir sürüm
- Hitachi Vantara Pentaho Business Analytics Server9.3.0.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Hitachi Vantara Pentaho Data Integration & Analytics | 10.0 ≤ v < 10.2.0.0 | 10.2.0.0 |
| Hitachi Vantara Pentaho Business Analytics Server | 1.0 ≤ v < 9.3.0.9 | 9.3.0.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.