一、缝隙概述
缝霞称 | Apache Kyuubi 目录接见节造绕过缝隙 |
CVE ID | CVE-2025-66518 |
缝隙类型 | 接见节造不当 | 发现功夫 | 2026-1-7 |
缝隙评分 | 8.8 | 缝隙等级 | 高危 |
攻击向量 | 网络 | 所需权限 | 低 |
利用难度 | 低 | 用户交互 | 必要 |
PoC/EXP | 未公开 | 在野利用 | 未发现 |
Apache Kyuubi是Apache基金会旗下的散布式SQL网关与多租户推算服务平台，，，，，，，，重要面向Apache Spark、Flink等大数据推算引擎。。。。。。 。。Kyuubi通过统一的服务层对表提供JDBC/REST等接见接口，，，，，，，，实现会话隔离、权限节造、资源治理与审计能力，，，，，，，，降低多用户共享大数据集群的运维与安全复杂度，，，，，，，，宽泛利用于企业级数据分析与数据治理场景。。。。。。 。。
2026年1月7日，，，，，，，，8827太阳集团集团VSRC监测到Apache Kyuubi Server中存在目录接见节造绕过缝隙。。。。。。 。。由于服务器端在处置本地蹊径时不足必要的蹊径规范化校验，，，，，，，，攻击者只有可能通过Kyuubi前端和谈接见服务，，，，，，，，即可绕过kyuubi.session.local.dir.allow.list配置限度，，，，，，，，接见或使用未被允许列表蕴含的本地文件资源。。。。。。 。。该问题可能导致本地敏感数据被犯法读�。。。。。。 。。�，，，，，，，粉碎系统原有的接见节造天堑，，，，，，，，增长数据泄露与合规风险。。。。。。 。。缝隙评分8.8分，，，，，，，，缝隙级别高危。。。。。。 。。
二、影响领域
1.6.0 <= Apache Kyuubi <= 1.10.2
三、安全措施
3.1 升级版本
官方已颁布建复补�。。。。。。 。。�，，，，，，，以建复该缝隙。。。。。。 。。
下载链接：https://github.com/apache/kyuubi/releases/
3.2 一时措施
暂无。。。。。。 。。
3.3 通用建议
? 定期更新系统补�。。。。。。 。。�，，，，，，，削减系统缝隙，，，，，，，，提升服务器的安全性。。。。。。 。。? 加强系统和网络的接见节造，，，，，，，，批改防火墙战术，，，，，，，，关关非必要的利用端口或服务，，，，，，，，削减将危险服务（如SSH、RDP等）露出到公网，，，，，，，，削减攻击面。。。。。。 。。? 使用企业级安全产品，，，，，，，，提升企业的网络安全机能。。。。。。 。。? 加强系统用户和权限治理，，，，，，，，启用多成分认证机造和最幼权限准则，，，，，，，，用户和软件权限应维持在最低限度。。。。。。 。。? 启用强密码战术并设置为定期批改。。。。。。 。。
3.4 参考链接
https://lists.apache.org/thread/xp460bwbyzdhho34ljd4nchyt2fmhodl/https://nvd.nist.gov/vuln/detail/CVE-2025-66518
京公网安备11010802024551号