CVE-2020-1956 | Apache Kylin远程代码执行缝隙公告
颁布功夫 2020-05-290x00 缝隙概述
|
CVE ID |
CVE-2020-1956 |
时 间 |
2020-05-29 |
|
类 型 |
RCE |
等 级 |
高危 |
|
远程利用 |
是 |
影响领域 |
Kylin 2.3.0 to 2.3.2 Kylin 2.4.0 to 2.4.1 Kylin 2.5.0 to 2.5.2 Kylin 2.6.0 to 2.6.5 Kylin 3.0.0-alpha, Kylin 3.0.0-alpha2, Kylin 3.0.0-beta, Kylin 3.0.0, Kylin 3.0.1 |
0x01 缝隙详情
Apache Kylin是美国阿帕奇（Apache）软件基金会的一款开源的散布式分析型数据仓库。。 。。。。。。该产品重要提供Hadoop/Spark之上的SQL查问接口及多维分析（OLAP）等职能。。 。。。。。。
近日Apache官方颁布公告，，，，， ， ，，建复了一个Apache Kylin远程代码执行缝隙（CVE-2020-1956）。。 。。。。。。Kylin中的restful API存在安全缝隙，，，，， ， ，，能够将os号令与用户输入字符串衔接起来，，，，， ， ，，攻击者能够在Kylin没有任何保� ； ；；；；；；せ蜓橹さ那榭鱿轮葱腥魏蝟s号令。。 。。。。。。
0x02 措置建议
官方已颁布最新版本建复了此缝隙，，，，， ， ，，用户应尽快升级到2.6.6或3.0.2版本，，，，， ， ，，下载链接：
http://kylin.apache.org/cn/download/
一时措施：由于该缝隙的入口为migrateCube，，，，， ， ，，可将kylin.tool.auto-migrate-cube.enabled设置为false以禁用号令执杏祝。 。。。。。。
0x03 有关新闻
https://osint.geekcq.com/2020/05/22/cve-2020-1956/
0x04 参考链接
https://kylin.apache.org/docs/security.html
https://github.com/apache/kylin/commit/9cc3793ab2f2f0053c467a9b3f38cb7791cd436a#
0x05 功夫线
2020-05-29 VSRC颁布缝隙公告
京公网安备11010802024551号