לאותו מקום בשרת ווב אפשר להצביע בכמה כתיבות שונות של אותו נתיב, וזה כל הסיפור של החולשה הזאת. ב-Pentaho BA Server, בגרסאות שלפני 9.3.0.2 ובגרסה 9.4.0.0, המנגנון שמחליט אם מותר לפנות למשאב מסוים קיבל את החלטתו לפי הנתיב כפי שהוא נכתב בבקשה. הציון הוא 8.6 מתוך 10, ובמרץ 2025 היא נוספה לרשימת החולשות שנוצלו בשטח.

מה החולשה?

נתיב בכתובת ווב הוא בסך הכול מחרוזת, והרבה מחרוזות שונות מצביעות על אותו מקום בדיוק. לוכסן כפול במקום בודד. נקודה שמשמעותה התיקייה הנוכחית. סימון של תיקייה אחת למעלה שמבטל את מה שנכתב לפניו. אות גדולה במקום קטנה, במערכות שאינן מבדילות. לפני שהשרת מטפל בבקשה הוא מצמצם את כל הצורות האלה לצורה אחת מוסכמת, ולפעולה הזאת קוראים נרמול.

רכיב ההרשאות במוצר לא עשה את הצמצום הזה. הוא לקח את הנתיב כמו שהגיע, השווה אותו לרשימת המשאבים שדורשים הרשאה, ולא מצא התאמה. הרכיב שבאמת הגיש את הבקשה בהמשך כן נרמל, ולכן הגיע למשאב המוגן. שתי בדיקות שקוראות את אותה מחרוזת בשתי דרכים, וההחלטה על ההרשאה נופלת בין הכיסאות.

יש לזה שם משלו ב-CWE, וזה מלמד שהתבנית מוכרת: הרשומה מסמנת את החולשה כ-CWE-647, הסתמכות על נתיב שאינו מנורמל לצורך החלטות הרשאה.

מה שמעניין בדירוג כאן הוא איך הפגיעה מתחלקת. סודיות ושלמות מדורגות נמוך, וזמינות מדורגת גבוה. כלומר לפי הדירוג החולשה אינה נותנת לקרוא או לשנות הרבה, אבל היא כן נותנת להפיל, וזאת בלי הזדהות, בלי הרשאה ובלי פעולה של מישהו אחר. אין הרבה חולשות שבהן זה סדר העדיפויות של הנזק. בשרת דוחות שמחלקות שלמות עובדות מולו, זה מספיק.

מי מושפע?

הרשומה מונה את Hitachi Vantara Pentaho Business Analytics Server בכל הגרסאות שלפני 9.3.0.2, ובמפורש גם את 8.3.x, וכן את גרסה 9.4.0.0. הגרסאות שמכילות את התיקון הן 9.4.0.1 ו-9.3.0.2.

המוצר הוא מערכת ניתוח נתונים ודוחות בארגונים ולא תוכנה שמישהו מתקין בבית, כך שלגולש הפרטי אין כאן מה לעשות. מי שצריך לפעול הוא מי שמתחזק שרת כזה, ואם הממשק שלו נגיש מחוץ לרשת הארגונית הוא צריך לפעול ראשון, מסיבה פשוטה: החולשה הזאת אינה דורשת חשבון.

האם מנוצלת בפועל?

כן. ב-3 במרץ 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 24 במרץ 2025 לרשויות הפדרליות בארצות הברית.

הקטלוג מציין שהחולשה נוצלה ואינו מפרט איך. מה שכן אפשר לקרוא מהדירוג הוא שאין כאן תנאי מוקדם שמסבך את הניצול: לא חשבון, לא הרשאה ולא פעולה של משתמש בצד השני. זה הופך אותה לנוחה לסריקה אוטומטית מול כל שרת שנמצא.

מה עושים?

בררו קודם את הגרסה המדויקת. כל מה שלפני 9.3.0.2 בטווח הפגיע, וגם 9.4.0.0, שנראית חדשה יותר, נמצאת בו. שתי הגרסאות שסוגרות הן 9.4.0.1 ו-9.3.0.2.

הודעת היצרן על החולשה הזאת נמצאת באתר התמיכה של Pentaho.

עד שהעדכון מתוכנן, השאלה המעשית היא מי יכול להגיע לשרת בכלל. חולשה שאינה דורשת חשבון נעצרת בעיקר בשכבת הרשת, ולכן הגדרה שמתירה פנייה לשרת רק מתוך הארגון או רק דרך VPN מורידה את החשיפה מיד.

ואם השרת היה נגיש כלפי חוץ בגרסה פגיעה, עברו אחרי העדכון על לוגי הגישה שלו, ובפרט על בקשות לנתיבים שאמורים היו לדרוש הרשאה.