CVE-2024-37361

Versões do Hitachi Vantara Pentaho Business Analytics Server anteriores à 10.2.0.0 e à 9.3.0.9, incluindo a 8.3.x

O aplicativo deserializa dados não confiáveis sem verificar suficientemente se os dados resultantes serão válidos. Quando os desenvolvedores não impõem restrições às “cadeias de gadgets” — ou séries de instâncias e invocações de métodos que podem se autoexecutar durante o processo de deserialização —, às vezes é possível que invasores as aproveitem para realizar ações não autorizadas.

Para as versões do Hitachi Vantara Pentaho Business Analytics Server anteriores à 10.2.0.0 e 9.3.0.9, incluindo 8.3.x, atualize para a versão 10.2.0.0 ou 9.3.0.9 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir a deserialização de dados JSON não confiáveis a classes e métodos aprovados. Restrinja o acesso a pontos de extremidade de API vulneráveis para minimizar o risco de exploração. Evite usar parâmetros ou variáveis vulneráveis nos pontos de extremidade de API afetados até que o problema seja resolvido. No momento, não há outras informações sobre medidas de mitigação adicionais.