PT-2025-16918
CVE-2025-24911
·
تاريخ النشر
2025-04-16
·
تاريخ التحديث
2025-04-17
الوصف من
CVSS 3.1
4.9
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Hitachi Vantara Pentaho Business Analytics Server الإصدارات الأقدم من 10.2.0.2
Hitachi Vantara Pentaho Business Analytics Server الإصدارات 9.3.x
Hitachi Vantara Pentaho Business Analytics Server الإصدارات 8.3.x
الوصف
تتعلق المشكلة بملفات XML التي تحتوي على تعريف نوع المستند (DTD)، مما يسمح بتعريف كيانات XML. يمكن تعريف الكيان عن طريق توفير سلسلة استبدال على شكل URI. وبمجرد قراءة محتوى URI، يتم إعادة تغذيته إلى التطبيق الذي يعالج XML، مما قد يؤدي إلى الكشف عن محتوى الملفات. عند إرسال ملف XML يحدد كيانًا خارجيًا باستخدام URI file://، يمكن للمهاجم أن يجبر التطبيق المعالج على قراءة محتوى ملف محلي. وباستخدام عناوين URI ذات مخططات أخرى، مثل http://، يمكن للمهاجم إجبار التطبيق على إرسال طلبات خارجية إلى خوادم لا يستطيع المهاجم الوصول إليها مباشرةً، وهو ما يمكن استخدامه للتحايل على قيود جدار الحماية أو إخفاء مصدر الهجمات.
التوصيات
بالنسبة إلى إصدارات Hitachi Vantara Pentaho Business Analytics Server الأقدم من 10.2.0.2، قم بالتحديث إلى الإصدار 10.2.0.2 أو أحدث لحل المشكلة.
بالنسبة لخادم Hitachi Vantara Pentaho Business Analytics Server من الإصدارات 9.3.x و8.3.x، قم بالتحديث إلى الإصدار 10.2.0.2 أو أحدث لحل المشكلة.
كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى Data Access XMLPars
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾