Hitachi Vantara Pentaho Data Integration & Analytics версий до 9.5.0.1 и 9.3.0.5, включая 8.3.x, не ограничивает идентификаторы JNDI во вре…
Hitachi Vantara Pentaho Data Integration & Analytics версий до 9.5.0.1 и 9.3.0.5, включая 8.3.x, не ограничивает идентификаторы JNDI во время создания XActions, что позволяет контролировать источники данных на уровне системы.
Продукт получает входные данные от вышестоящего компонента, однако не ограничивает или некорректно ограничивает их перед использованием в качестве идентификатора ресурса, который может находиться за пределами предполагаемой сферы управления.
https://cwe.mitre.org/data/definitions/99.html →Открыть в коллекции CWE →Данный шаблон атаки предполагает вызов переполнения буфера путём манипуляции переменными окружения. Обнаружив возможность изменить переменную окружения, злоумышленник может попытаться переполнить связанные с ней буферы. Атака использует неявное доверие, которое нередко оказывается переменным окружения.
https://capec.mitre.org/data/definitions/10.html →Открыть в коллекции CAPEC →Как правило, это файлы, редактируемые вручную и не находящиеся в зоне видимости системных администраторов. Любая возможность злоумышленника изменять эти файлы, например в репозитории CVS, предоставляет несанкционированный доступ непосредственно к приложению — такой же, как у авторизованных пользователей.
https://capec.mitre.org/data/definitions/75.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует слабости в проверке входных данных, манипулируя идентификаторами ресурсов, что позволяет непредвиденно изменять или указывать ресурс.
https://capec.mitre.org/data/definitions/240.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| pentaho_data_integration_and_analytics | * | Отслеживается |