
2020年5月28日,Apache Kylin官方发布安全公告,披露了一个Apache Kylin远程代码执行漏洞。Kylin有一些restful API,可以将os命令与用户输入字符串连接起来,攻击者可以在Kylin没有任何保护或验证的情况下执行任何os命令。
Apache Kylin是一个开源的、分布式的分析型数据仓库,提供 Hadoop 之上的 SQL 查询接口及多维分析(OLAP)能力,以支持超大规模数据,最初由eBay Inc.开发并贡献至开源社区。
CVE 编号
CVE-2020-1956
影响版本
-
Kylin 2.3.0-2.3.2
-
Kylin 2.4.0-2.4.1
-
Kylin 2.5.0-2.5.2
-
Kylin 2.6.0-2.6.5
-
Kylin 3.0.0-alpha
-
Kylin 3.0.0-alpha2
-
Kylin 3.0.0-beta
-
Kylin 3.0.0-3.0.1
修复建议
-
官方发布的最新版本已经修复了此漏洞,请受影响的用户下载最新版本。下载链接:http://kylin.apache.org/cn/download/
-
若相关用户暂时无法进行升级操作,可采用以下措施进行临时缓解:
将
kylin.tool.auto-migrate-cube.enabled
设置为false
,禁用系统命令执行
参考
[1].https://kylin.apache.org/docs/security.html
[2].https://github.com/apache/kylin/commit/9cc3793ab2f2f0053c467a9b3f38cb7791cd436a#
白帽汇从事信息安全,专注于安全大数据、企业威胁情报。
公司产品:FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。
为您提供:网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。
You must be logged in to post a comment.