Hitachi Vantara Pentaho Business Analytics Server – サーバーサイドリクエストフォージェリ (Server Side Request Forgery)

この脆弱性は、攻撃者がHTTP/HTTPSリクエストのHostヘッダーを操作することで、サーバーが意図しない宛先へリクエストを送信するように仕向けます。これにより、ファイアウォールなどのアクセス制御をバイパスし、本来アクセスできないリソースにアクセスしたり、機密情報を盗み出したりすることが可能になります。攻撃者は、内部ネットワークへの侵入や、他のシステムへの攻撃の足がかりとしてこの脆弱性を利用する可能性があります。特に、複数のアプリケーションが同じサーバー上で動作している場合、影響範囲が広がる可能性があります。

Organizations using Pentaho Business Analytics Server in environments with strict network segmentation or firewalls are particularly at risk. Legacy configurations that rely heavily on Host header validation for access control are also vulnerable. Shared hosting environments where multiple tenants share the same server infrastructure should be carefully assessed.

• linux / server: Use tcpdump or wireshark to monitor HTTP/HTTPS traffic and identify requests with unusual or unexpected Host headers. Examine access logs for patterns indicating Host header manipulation attempts.

ttcpdump -i any -A 'host header contains "malicious.example.com"'

• generic web: Use curl to test endpoint exposure with different Host headers. Check response headers for unexpected behavior.

curl -H "Host: malicious.example.com" https://your-pentaho-server/your-endpoint

1. 2025-02-19Disclosure

   disclosure

1. 予約済み2024-06-06
2. 公開日2025-02-19
3. 更新日2025-02-20
4. EPSS 更新日2026-04-02

最も効果的な対策は、Pentaho Business Analytics Serverを9.3.0.9以降のバージョンにアップデートすることです。バージョンアップが困難な場合は、WAF（Web Application Firewall）を導入し、不正なHostヘッダーを持つリクエストをブロックするルールを設定することを検討してください。また、サーバーのネットワーク構成を見直し、不要なポートを閉じたり、アクセス制御を強化したりすることも有効です。アップデート後、バージョンが正しく適用されていることを確認し、脆弱性が解消されていることを検証してください。