Apache Kylin prior to 4.0.2 allows command injection when the configuration overwrites function overwrites system parameters

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• apache kylin2.0.0 и новее · до 2.6.6
• apache kylin3.0.0 и новее · до 3.1.2 включительно
• apache kylin4.0.0 и новее · до 4.0.1 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (apache). Не зависят от анализа CPE в NVD и обычно опережают его.

• Apache Software Foundation Apache Kylin

  • Apache Kylin 2 и новее · до 2.6.6затронута
  • Apache Kylin 3 и новее · до 3.1.2 включительнозатронута
  • Apache Kylin 4 и новее · до 4.0.1 включительнозатронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-1956Apache Kylin 2.3.0, and releases up to 2.6.5 and 3.0.1 has some restful apis which will concatenate os command with the user input string, aKEV
  94Срочно
• CVE-2021-45456Apache kylin checks the legitimacy of the project before executing some commands with the project name passed in by the user.
  66На этой неделе
• CVE-2022-43396Apache Kylin: Command injection by Useless configuration
  52В плане
• CVE-2020-13925Similar to CVE-2020-1956, Kylin has one more restful API which concatenates the API inputs into OS commands and then executes them on the se
  45В плане
• CVE-2020-13937Apache Kylin 2.0.0, 2.1.0, 2.2.0, 2.3.0, 2.3.1, 2.3.2, 2.4.0, 2.4.1, 2.5.0, 2.5.1, 2.5.2, 2.6.0, 2.6.1, 2.6.2, 2.6.3, 2.6.4, 2.6.5, 2.6.6, 3
  44В плане
• CVE-2026-62392Apache Kylin: OS Command Injection via Async Query API
  40В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.