Apache Kylin 2.3.0, and releases up to 2.6.5 and 3.0.1 has some restful apis which will concatenate os command with the user input string, a

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• apache kylin2.3.0 и новее · до 2.3.2 включительно
• apache kylin2.5.0 и новее · до 2.5.2 включительно
• apache kylin2.6.0 и новее · до 2.6.5 включительно
• apache kylin2.4.0
• apache kylin2.4.1
• apache kylin3.0.0
• apache kylin3.0.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (apache). Не зависят от анализа CPE в NVD и обычно опережают его.

• Apache Kylin

  • 2.3.0, <=2.6.5, <=3.0.1затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-45456Apache kylin checks the legitimacy of the project before executing some commands with the project name passed in by the user.
  66На этой неделе
• CVE-2022-24697Apache Kylin prior to 4.0.2 allows command injection when the configuration overwrites function overwrites system parameters
  64На этой неделе
• CVE-2022-43396Apache Kylin: Command injection by Useless configuration
  52В плане

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2020-193724 февр. 2020 г. · Kylin has some restful apis which will concatenate SQLs with the user input string, a user is likely to be able to run malicious database qu
  36Наблюдать
• Позже →CVE-2020-1392514 июл. 2020 г. · Similar to CVE-2020-1956, Kylin has one more restful API which concatenates the API inputs into OS commands and then executes them on the se
  45В плане
• Позже →CVE-2020-1392614 июл. 2020 г. · Kylin concatenates and executes a Hive SQL in Hive CLI or beeline when building a new segment; some part of the HQL is from system configura
  40В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.