Podatności Apache Kylin

Apache Kylin ujawnia wrażliwe informacje (konfigurację na poziomie systemu) nieuprawnionemu podmiotowi. Podatność występuje w wersjach od 4 do 5.0.4.

Podatność w Apache Kylin obejmująca brak uwierzytelniania dla wewnętrznego broadcastu oraz niebezpieczną deserializację polimorficzną. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.

W Apache Kylin występuje podatność nieprawidłowego uwierzytelniania. Nieuwierzytelniony użytkownik może uzyskać dostęp do akcji czyszczenia systemu. Problem dotyczy wersji od 4 do 5.0.4.

W Apache Kylin występuje podatność polegająca na obejściu uwierzytelniania w sieci wewnętrznej. Problem dotyczy wersji od 4.0.4 do 5.0.4.

W Apache Kylin występuje podatność SQL Injection połączona z brakiem uwierzytelniania dla krytycznej funkcji. Niektóre backendowe API cache nie wymaga uwierzytelnienia i może doprowadzić do wykonania wstrzykniętego SQL. Problem dotyczy wersji od 5 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.

W Apache Kylin występuje podatność deserializacji niezaufanych danych. Niebezpieczna deserializacja Java może wystąpić w wyniku awarii zewnętrznej usługi cache. Problem dotyczy wersji od 4 do 5.0.4.

W Apache Kylin występuje podatność braku autoryzacji. Backendowe API zrzutu metadanych nie wymaga wystarczającej autoryzacji ani ograniczenia ścieżek. Problem dotyczy wersji od 4 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.

W Apache Kylin wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection). Nieprawidłowa neutralizacja specjalnych elementów w parametrach konfiguracyjnych zadań może pozwolić atakującemu na wykonanie dowolnych poleceń przez backendowe API. Problem dotyczy wersji od 4 do 5.0.3.

W Apache Kylin wykryto podatność na iniekcję SQL w API backendu odświeżającym katalog tabel. Atakujący może wstrzyknąć złośliwe zapytanie SQL do generowanego kodu.

Podatność dotycząca plików lub katalogów dostępnych dla zewnętrznych podmiotów w Apache Kylin. Problem występuje, gdy dostęp administratora systemu i projektu Kylin nie jest dobrze chroniony. Dotyczy wersji Apache Kylin od 4.0.0 do 5.0.2. Zalecana jest aktualizacja do wersji 5.0.3.

W Apache Kylin od wersji 4.0.0 do 5.0.4 atakujący z uprawnieniami administratora projektu może użyć API cache do wyczerpania zasobów kolumn obliczanych. Luka polega na alokacji zasobów bez limitów lub ograniczeń.

W Apache Kylin od wersji 4.0.0 do 5.0.4 domyślny profil startowy pomija ustawienia bezpieczeństwa. Wdrożenia z włączonym profilem ustawień bezpieczeństwa nie są dotknięte.

Podatność w Apache Kylin polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi podczas manipulacji zadaniami. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi zadań nie są wystawione do sieci publicznej.

Potencjalna podatność w walidacji konfiguracji źródła JDBC w Apache Kylin. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi backendu Kylin nie są wystawione do sieci publicznej.

Podatność typu SQL Injection w Apache Kylin wynikająca z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od 4.0.0 do 5.0.4, a jego wpływ jest umiarkowany w domyślnym trybie tylko do zapytań.

Podatność w Apache Kylin polegająca na braku autoryzacji przy aktualizacji konfiguracji źródła JDBC. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.

Podatność Server-Side Request Forgery (SSRF) w Apache Kylin. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługę zadań Kylin wystawioną bezpośrednio do sieci publicznej.

Podatność w Apache Kylin polegająca na obejściu ograniczeń ścieżek podczas usuwania kopii zapasowej metadanych. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.

W Apache Kylin występuje podatność polegająca na ujawnieniu czarnej listy SQL nieuprawnionemu podmiotowi. Problem dotyczy wersji od 4 do 5.0.4.

W Apache Kylin występuje podatność umożliwiająca nieuprawnioną manipulację zadaniami między projektami. Problem dotyczy wersji od 4 do 5.0.4.

W Apache Kylin występuje podatność polegająca na możliwości odrzucania zadań przez nieuprawniony podmiot. Problem dotyczy wersji od 4 do 5.0.4.

W Apache Kylin występuje podatność polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi. Problem dotyczy wersji od 4 do 5.0.4.

W Apache Kylin występuje podatność typu OS Command Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach systemu operacyjnego. Problem dotyczy wersji od 4.0.4 do 5.0.4.

W Apache Kylin występuje podatność typu Code Injection — specjalny parametr w JDBC URL może prowadzić do wstrzyknięcia kodu. Problem dotyczy wersji od 4 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej, co jest rzadkie; wdrożenia wewnętrzne w większości nie są zagrożone.

W Apache Kylin wykryto podatność polegającą na nieprawidłowym zarządzaniu uprawnieniami podczas pobierania informacji o zadaniach. Atakujący może uzyskać dostęp do nieautoryzowanych zadań w innych projektach.

Podatność Server-Side Request Forgery (SSRF) w Apache Kylin. Problem dotyczy Apache Kylin od wersji 4.0.0 do 5.0.2. Jesteś bezpieczny, jeśli dostęp administratora systemu i projektu Kylin jest dobrze chroniony. Zaleca się aktualizację do wersji 5.0.3, która naprawia problem.

Podatność polegająca na obejściu uwierzytelniania przy użyciu alternatywnej ścieżki lub kanału w Apache Kylin. Dotyczy wersji Apache Kylin od 4.0.0 do 5.0.2. Zalecana jest aktualizacja do wersji 5.0.3.