Trusted Design

解説:

CVE-2022-43769は、Hitachi Vantara Pentaho Business Analytics Serverに存在する脆弱性であり、WebサービスがSpringテンプレートを含むプロパティ値を不適切に処理することに起因し、任意のコード実行につながる可能性があります。

1. 脆弱性の概要

Hitachi Vantara Pentaho Business Analytics Serverの特定のWebサービスが、Springテンプレートを含むプロパティ値を設定することを許可し、それが下流で解釈される脆弱性です。これは特別要素の挿入（Special Element Injection）の脆弱性として分類され、攻撃者がプロパティファイルにSpringテンプレートを挿入することで、最終的に任意のコマンド実行が可能になります。

1.1 影響 この脆弱性が悪用されると、リモートコード実行（RCE）が可能になります。攻撃者はPentaho Business Analytics Serverを実行しているユーザーとして任意のコマンドを実行できます。また、CVE-2022-43939（認証バイパスの脆弱性）と組み合わせることで、認証されていない状態でのコード実行が可能となる可能性があります。

1.2 深刻度 CVSS v3.1スコアは7.2 (High)と評価されています。 この脆弱性は、CISAの既知の悪用された脆弱性（Known Exploited Vulnerabilities：KEV）カタログに掲載されており、実世界で活発に悪用されていることが知られています。EPSS (Exploit Prediction Scoring System) スコアは97.7%（2026年9月21日時点）であり、悪用される可能性が非常に高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン 特定のOSバージョンは明記されていませんが、以下のバージョンのHitachi Vantara Pentaho Business Analytics Serverが影響を受けます。 * バージョン 9.4.0.1 より前のすべてのバージョン * バージョン 9.3.0.2 より前のすべてのバージョン * 8.3.x を含む

2.2 影響を受ける設定 Pentaho Business Analytics Server内の、LDAP接続のテストおよび設定を行うWebサービスのエンドポイントが影響を受けます。XMLベースのBean定義が基本ファイルとユーザー指定のパラメータの組み合わせで作成される際に、それらがサニタイズされずにプロパティファイルに挿入されることが原因です。

3. 影響を受けた時の兆候

直接的な侵害の兆候は詳細には記載されていませんが、リモートコード実行が可能であることから、以下のような兆候が考えられます。 * システム上で予期せぬプロセスの実行 * 設定ファイルの改ざん * 不審なネットワーク通信 CISAは、本脆弱性が悪用されている可能性があるため、パッチ適用日だけでなく、脆弱性がKEVカタログに追加された日付（2025年3月3日）から過去に遡って侵害の兆候を調査することを推奨しています。

4. 推奨対策

4.1 本対策 ベンダーの指示に従い、パッチまたは修正済みのバージョンにアップグレードすることを推奨します。 影響を受けるバージョンのHitachi Vantara Pentaho Business Analytics Serverを以下のバージョンにアップグレードしてください。 * バージョン 9.4.0.1 以降 * バージョン 9.3.0.2 以降

4.2 暫定回避策（緩和策） ベンダーが提供する緩和策がある場合は、それに従って適用してください。緩和策が利用できない場合は、製品の使用を中止することも検討すべきです。CISA BOD 22-01のガイダンスに従い、システムの隔離または製品の停止も緩和策となり得ます。

5. 他に解説すべき観点

• 関連脆弱性: この脆弱性は、CVE-2022-43939（認証バイパスの脆弱性）と連携して悪用されることがあり、これにより認証されていないユーザーによるリモートコード実行が可能となります。
• CISA KEVカタログへの掲載: 本脆弱性は、CISAのKnown Exploited Vulnerabilitiesカタログに2025年3月3日に追加されており、連邦政府機関に対しては2025年3月24日までに修正措置を講じるよう求めています。
• 公開エクスプロイトの存在: 本脆弱性に対する公開されたエクスプロイトコードが存在します。

参照したサイト

• CVE-2022-43769 Detail - NVD
• CVE-2022-43769 | AttackerKB - Vulnerability & Exploit Database
• CVE-2022-43769: Hitachi Vantara Pentaho BA Server Special Element Injection Vulnerability | H2 Security
• Pentaho Business Server Auth Bypass and Server Side Template Injection RCE - Rapid7
• CVE-2022-43769 – Hitachi Vantara Pentaho BA Server Special Element…
• Hitachi Pentaho Business Analytics Server - Remote Code Execution (CVE-2022-43769) - Vulnerability & Exploit Database - Pentest-Tools.com
• Pentaho BA Server EE 9.3.0.0-428 - Remote Code Execution (RCE) (Unauthenticated)
• CVE-2022-43769 — פרטי פגיעות - TechRS
• Hitachi Vantara Pentaho BA Server Vulnerabilities (CVE-2022-43769 and CVE-2022-43939)