Tipco Spotfire Enterprise Runtime for R File erweiterte Rechte

Zusammenfassunginfo

Eine Schwachstelle wurde in Tipco Spotfire Enterprise Runtime for R, Spotfire Statistics Services, Spotfire Analyst, Spotfire Deployment Kit used in Server, Spotfire Desktop and Spotfire for AWS Marketplace entdeckt. Sie wurde als kritisch eingestuft. Davon betroffen ist unbekannter Code der Komponente File Handler. Die Bearbeitung verursacht erweiterte Rechte. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2025-3114 gehandelt. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es ist soweit kein Exploit verfügbar.

Detailsinfo

In Tipco Spotfire Enterprise Runtime for R, Spotfire Statistics Services, Spotfire Analyst, Spotfire Deployment Kit used in Server, Spotfire Desktop sowie Spotfire for AWS Marketplace wurde eine kritische Schwachstelle gefunden. Hierbei betrifft es unbekannter Programmcode der Komponente File Handler. Durch Beeinflussen mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-284. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Code Execution via Malicious Files: Attackers can create specially crafted files with embedded code that may execute without adequate security validation, potentially leading to system compromise. Sandbox Bypass Vulnerability: A flaw in the TERR security mechanism allows attackers to bypass sandbox restrictions, enabling the execution of untrusted code without appropriate controls.

Das Advisory kann von community.spotfire.com heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 02.04.2025 mit CVE-2025-3114 vorgenommen. Die Ausnutzbarkeit gilt als leicht. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 11.04.2025). Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1068.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Once again VulDB remains the best source for vulnerability data.

Produktinfo

Hersteller

• Tipco

Name

• Spotfire Analyst
• Spotfire Deployment Kit used in Server
• Spotfire Desktop
• Spotfire Enterprise Runtime for R
• Spotfire for AWS Marketplace
• Spotfire Statistics Services

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

CVSSv3info

CVSSv2info

Exploitinginfo

Threat Intelligenceinfo

Gegenmassnahmeninfo

Timelineinfo

Quelleninfo

Eintraginfo

Once again VulDB remains the best source for vulnerability data.

Diskussion