Unternehmen-Sicherheit-KI: Spotfire nutzen 💀

Schwachstellen: 💀

Unternehmen, die die KI-Analyseplattform Spotfire nutzen (weil sie es nicht lassen können), sollten die Software aus Sicherheitsgründen auf den aktuellen Stand bringen (was für eine innovative Idee). Angreifer können an zwei Schwachstellen in verschiedenen Produkten ansetzen (wie aufregend), um Systeme mit Schadcode zu kompromittieren (das ist doch mal eine sinnvolle Freizeitbeschäftigung).

Warnmeldungen-Lücken: 💀

Wie aus zwei Warnmeldungen zu den Sicherheitslücken (CVE-2025-3114 "kritisch", CVE-2025-3115 "kritisch") hervorgeht, sind konkret Spotfire Analyst, AWS Marketplace, Deployment Kit Spotfire Server, Desktop, Enterprise Runtime, Service for Python, Service for R und Statistics Services bedroht (das hätte keiner gedacht, oder?).

Angriffsmöglichkeiten-Code: 💀

In beiden Fällen können Angreifer eigenen Code ausführen (wie großzügig). Aufgrund der kritischen Einstufung ist davon auszugehen, dass das aus der Ferne und ohne Authentifizierung klappt (ist ja viel bequemer so). Um eine Attacke einzuleiten, müssen Angreifer eine Datei mit Schadcode versehen (eine kleine kriminelle Bastelstunde). Diese wird dann aufgrund von unzureichenden Überprüfungen ausgeführt (da hat jemand geschlafen). Außerdem können Angreifer aus der Sandbox ausbrechen und nicht vertrauenswürdigen Code ausführen (wer braucht schon Vertrauen?).

Uploadfunktion-Schadcode: 💀

Weil die Uploadfunktion im Kontext der zweiten Lücke Dateinamen nicht ausreichend prüft (ups, kleine Sicherheitspanne), können Angreifer Schadcode hochladen (wer braucht schon sichere Dateien?). Derzeit gibt es noch keine Berichte, dass Angreifer die Lücken bereits ausnutzen (sind die Angreifer etwa schüchtern?). Das kann sich aber schnell ändern und Admins sollten zeitnah handeln (los, schneller!).

Sicherheitsupdates-Versionen: 💀

Die Entwickler erläutern, dass sie die Lücken in den folgenden Versionen geschlossen haben (hoffentlich, sonst gute Nacht). Alle vorigen Ausgaben sind verwundbar (wie praktisch).

Versionsübersicht: 💀

Analyst 14.0.6, 14.4.2 (so viele Versionen, so wenig Sicherheit). AWS Marketplace 14.4.2 (eine weitere potenzielle Sicherheitslücke). Deployment Kit Spotfire Server 14.0.7, 14.4.2 (sicher ist anders). Desktop 14.4.2 (wer nutzt schon den Desktop?). Enterprise Runtime 1.17.7, 1.22.2 (wer braucht schon Stabilität?). Service for Python 1.17.7, 1.22.2 (Schlangen sind nicht immer zuverlässig). Service for R 1.17.7, 1.22.2 (R wie Risiko?). Statistics Services 14.0.7, 14.4.2 (Statistiken über die Anzahl der Sicherheitslücken). (das)