Версии Hitachi Vantara Pentaho Data Integration & Analytics до 10.2.0.6, включая 9.3.x и 8.3.x, не ограничивают использование сценариев Groovy в новых отчетах PRPT, публикуемых пользователями, что позволяет вставлять произвольные сценарии и приводит к RCE.
Показать оригинальное описание (EN)
Hitachi Vantara Pentaho Data Integration & Analytics versions before 10.2.0.6, including 9.3.x and 8.3.x, do not restrict Groovy scripts in new PRPT reports published by users, allowing insertion of arbitrary scripts and leading to a RCE.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1