Hitachi Vantara Pentaho Business Analytics Server – Falsificación de Solicitud del Lado del Servidor

Un atacante que explote esta vulnerabilidad puede realizar ataques de Host Header Injection, engañando al servidor para que envíe solicitudes a destinos no deseados. Esto podría permitir el acceso a recursos protegidos, la ejecución de código malicioso o la intercepción de datos sensibles. La manipulación del encabezado Host podría permitir a un atacante eludir firewalls y otros mecanismos de seguridad que se basan en la validación del dominio. La falta de validación del encabezado Host abre la puerta a ataques de phishing y otros tipos de ataques que buscan comprometer la integridad y confidencialidad de los datos.

Organizations using Pentaho Business Analytics Server in environments with strict network segmentation or firewalls are particularly at risk. Legacy configurations that rely heavily on Host header validation for access control are also vulnerable. Shared hosting environments where multiple tenants share the same server infrastructure should be carefully assessed.

• linux / server: Use tcpdump or wireshark to monitor HTTP/HTTPS traffic and identify requests with unusual or unexpected Host headers. Examine access logs for patterns indicating Host header manipulation attempts.

ttcpdump -i any -A 'host header contains "malicious.example.com"'

• generic web: Use curl to test endpoint exposure with different Host headers. Check response headers for unexpected behavior.

curl -H "Host: malicious.example.com" https://your-pentaho-server/your-endpoint

1. 2025-02-19Disclosure

   disclosure

1. Reservado2024-06-06
2. Publicada2025-02-19
3. Modificada2025-02-20
4. EPSS actualizado2026-04-02

La mitigación principal para el CVE-2024-37359 es actualizar Pentaho Business Analytics Server a la versión 9.3.0.9, donde se ha corregido la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar una validación estricta del encabezado Host en el servidor web. Esto puede lograrse configurando el servidor para rechazar solicitudes con encabezados Host inválidos o inesperados. Además, se pueden implementar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que intenten manipular el encabezado Host. Verifique después de la actualización que el encabezado Host se valida correctamente y que las solicitudes se dirigen al destino esperado.