Apache Kylin是美国阿帕奇(Apache)基金会的一款开源的分布式分析型数据仓库。该产品主要提供Hadoop/Spark之上的SQL查询接口及多维分析(OLAP)等功能。
一、漏洞分析
公开日期:2023-01-12
漏洞编号:CNVD-2023-02475/CVE-2022-43396
危害等级:高危
漏洞描述:Kylin存在命令注入漏洞,该漏洞源于黑名单存在被绕过的风险,攻击者利用该漏洞可以通过控制conf的kylin.engine.spark-cmd参数来控制命令。
二、漏洞影响产品
Apache Kylin <4.0.3
三、漏洞处置建议
厂商已发布了漏洞修复程序,请及时关注更新:
https://lists.apache.org/thread/ob2ks04zl5ms0r44cd74y1xdl1rzfd1r