Pentaho BA Server היא מערכת לניתוח נתונים ולהפקת דוחות שיושבת בתוך הרשת הארגונית. בגרסאות שלפני 9.4.0.1 ו-9.3.0.2 יכול משתמש עם הרשאות בסיסיות לכתוב לתוך הגדרות של המערכת טקסט שנקרא בהמשך כקוד ומורץ. הציון הוא 8.8 מתוך 10, והחולשה נמצאת בקטלוג החולשות שידוע על ניצול שלהן בפועל.

מה החולשה?

הרבה מערכות בונות טקסט מתוך תבנית: מסמך שבתוכו יש סימון מיוחד, ובמקום הסימון נכנס ערך אמיתי ברגע ההצגה. זה מה שמאפשר לכתוב פעם אחת שורת פתיחה עם סימון במקום השם, ולהציג אותה נכון לכל אחד. המנוע שממלא את הסימונים האלה הוא רכיב תוכנה לכל דבר, ובחלק מהמנועים הסימון יכול להכיל לא רק שם של שדה אלא ביטוי שהמנוע מחשב בעצמו.

כאן נכנסת החולשה. לפי הרשומה, שירותי ווב מסוימים במוצר אפשרו לקבוע ערכים של מאפיינים, והערכים האלה יכלו להכיל תבניות של Spring, המסגרת שהמוצר בנוי עליה. התבנית לא חושבה במקום שבו נכתבה, אלא ברכיב אחר, בהמשך הדרך, כשמישהו כבר השתמש בערך השמור. מי שכתב את הערך קבע בסופו של דבר מה המנוע יחשב.

הפער הזה בין המקום שבו הקלט נכנס למקום שבו הוא מופעל הוא מה שהופך את הבאג לקשה לתפיסה בבדיקה. השדה שנכתב נראה כמו הגדרה, לא כמו קוד. לתבנית הזאת קוראים הזרקה, והרשומה מסמנת אותה כ-CWE-74.

הדירוג אומר שצריך הרשאה כלשהי כדי להתחיל, אבל לא הרשאת מנהל. אין צורך שמישהו אחר יבצע פעולה, והבקשה מגיעה מהרשת. הפגיעה מדורגת גבוהה בשלושת הצירים, סודיות, שלמות וזמינות, מה שמתאים לשליטה על השרת ולא לקריאה בלבד ממנו. חשבון עם הרשאות בסיסיות הוא מחסום נמוך במערכת שמחלקות שלמות בארגון מתחברות אליה.

מי מושפע?

הרשומה מונה את Hitachi Vantara Pentaho Business Analytics Server מגרסה 8.3.0.0 ועד 9.3.0.2, כלומר את כל 8.3.x ואת כל מה שביניהן, וכן את גרסה 9.4.0.0 בנפרד. הגרסאות שמכילות את התיקון הן 9.4.0.1 ו-9.3.0.2.

זו מערכת ארגונית ולא תוכנה ביתית, כך שלגולש הפרטי אין כאן דבר. בישראל היא מותקנת בארגונים שמפיקים ממנה דוחות וניתוחים על נתונים פנימיים, ומכאן גם מה שמעניין בחולשה: המערכת הזאת יושבת לפי תפקידה קרוב מאוד למקורות הנתונים של הארגון.

האם מנוצלת בפועל?

כן. ב-3 במרץ 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, ומועד התיקון שנקבע לרשויות הפדרליות בארצות הברית היה 24 במרץ 2025.

הפער בין התאריכים בולט כאן במיוחד: הרשומה פורסמה באפריל 2023, והכניסה לקטלוג היא כמעט שנתיים אחריה. בין לבין פורסם גם חומר ציבורי על ניצול המוצר, שמקושר מהרשומה עצמה. חולשה שתוקנה לפני זמן רב אינה בהכרח חולשה שהותקנה לפני זמן רב, וזה ההבדל שהקטלוג מודד.

מה עושים?

עדכנו ל-9.4.0.1 אם אתם בענף 9.4, או ל-9.3.0.2 אם אתם בענף 9.3. מי שנמצא על 8.3.x נמצא בתוך הטווח הפגיע כולו וצריך לעלות לאחת מהשתיים. הודעת היצרן נמצאת באתר התמיכה של Pentaho.

בררו את הגרסה המדויקת לפני הכול, כי 9.4.0.0 פגיעה ו-9.4.0.1 אינה, וההבדל ביניהן הוא ספרה אחת.

ויש כאן צעד שני שאינו עדכון. הניצול דורש חשבון במערכת, ולכן שווה לעבור על רשימת המשתמשים בשרת ולמחוק חשבונות שאין להם יותר שימוש. הרשאה בסיסית שנשארה פתוחה אחרי שמי שהחזיק בה כבר אינו צריך אותה היא בדיוק נקודת הפתיחה שהחולשה הזאת מבקשת.