关于Apache Kylin命令注入漏洞的公告
一、漏洞概述
CVE ID | CVE-2022-43396 | 发现时间 | 2023-01-03 |
类 型 | 命令注入 | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | |
攻击复杂度 | 低 | 用户交互 | 无 |
PoC/EXP | | 在野利用 | |
二、漏洞详情
Apache Kylin是一个开源的分布式分析引擎，旨在为Apache Hadoop提供SQL接口和多维分析（OLAP），支持超大数据集。
2022年12月30日，Apache发布安全公告，披露了Apache Kylin中的一个命令注入漏洞（CVE-2022-43396）。
该漏洞源于Apache Kylin命令注入漏洞（CVE-2022-24697）修复措施的安全绕过（黑名单绕过），恶意用户可以通过控制conf的kylin.engine.spark-cmd参数来执行命令。
三、处置建议
目前该漏洞已经修复，Apache Kylin 2.x 、3.x 、4.x用户可及时升级到4.0.3 版本或应用补丁。
下载链接：
https://kylin.apache.org/download/
补丁链接：
https://github.com/apache/kylin/pull/2011
四、参考链接
https://lists.apache.org/thread/ob2ks04zl5ms0r44cd74y1xdl1rzfd1r
https://lists.apache.org/thread/o53vqxjdd9q731bwqpgcqyzx9r716qwx
https://lists.apache.org/thread/07mnn9c7o314wrhrwjr10w9j5s82voj4
