资讯首页 新闻资讯 云计算测评 云服务商动态 技术频道
上云无忧 > 云计算资讯  > 技术频道 > Apache Kylin 远程代码执行漏洞:CVE-2020-1956

Apache Kylin 远程代码执行漏洞:CVE-2020-1956

发布时间: 2020-05-31 19:19:52|浏览量:471| 评论: 0


近日,金山云安全应急响应中心监测到Apache Kylin官方发布安全公告,披露了一个Apache Kylin远程代码执行漏洞。


该漏洞利用难度简单,风险等级高,建议使用了Kylin的用户下载最新版本,避免损失。


漏洞名称


Apache Kylin 远程代码执行漏洞


漏洞编号


CVE-2020-1956


风险等级


高危


漏洞描述


2020年5月28日,Apache Kylin官方发布安全公告,披露了一个Apache Kylin远程代码执行漏洞。Kylin有一些restful API,可以将os命令与用户输入字符串连接起来,攻击者可以在Kylin没有任何保护或验证的情况下执行任何os命令。


Apache Kylin是一个开源的、分布式的分析型数据仓库,提供 Hadoop 之上的 SQL 查询接口及多维分析(OLAP)能力,以支持超大规模数据,最初由eBay Inc.开发并贡献至开源社区。


影响版本


目前受影响的Apache Kylin版本:

Kylin 2.3.0-2.3.2

Kylin 2.4.0-2.4.1

Kylin 2.5.0-2.5.2

Kylin 2.6.0-2.6.5

Kylin 3.0.0-alpha

Kylin 3.0.0-alpha2

Kylin 3.0.0-beta

Kylin 3.0.0-3.0.1


修复方案


1) 官方发布的最新版本已经修复了此漏洞,请受影响的用户下载最新版本。下载链接:http://kylin.apache.org/cn/download/


2) 若相关用户暂时无法进行升级操作,可采用以下措施进行临时缓解:将kylin.tool.auto-migrate-cube.enabled 设置为 false,禁用系统命令执行。


参考链接


[1].https://kylin.apache.org/docs/security.html

[2].https://github.com/apache/kylin/commit/9cc3793ab2f2f0053c467a9b3f38cb7791cd436a#

更多【技术频道】相关文章

有话要说

全部评论

暂无评论
官方微信
联系客服
400-826-7010
7x24小时客服热线
分享
  • QQ好友
  • QQ空间
  • 微信
  • 微博
返回顶部