CVE:CVE-2021-31599
CNNVD:CNNVD-202111-526
Hitachi Vantara Pentaho是日本Hitachi公司的一款用于大数据环境中对数据进行存储和管理的服务。
Hitachi Vantara Pentaho Business Analytics 9.1以及之前版本存在安全漏洞，该漏洞源于Pentaho 允许用户创建和运行 Pentaho 报告包 (.prpt)。 用户可以使用 Pentaho Designer 应用程序创建 PRPT 报告，并且可以包含 BeanShell 脚本函数来简化复杂报告的生成。 然而，当 Pentaho 业务分析运行 Pentaho PRPT 报告时，BeanShell 脚本函数可以允许执行任意 Java 代码。 此功能允许任何具有足够权限的用户上传或编辑现有的 Pentaho Report Bundle（通过 Pentaho Designer）并在运行在 web 服务器上的 Pentaho 应用程序用户的上下文中执行任意代码。
solution:Upgrade hitachi vantara_pentaho to a higher version than 9.1.0.0,and avoid the version (,9.1.0.0]; Upgrade hitachi vantara_pentaho_business_intelligence_server to a higher version than 7.1,and avoid the version (,7.1]