PT-2022-26882 · Apache · Apache Kylin

Yasax1 Li · Publicado 2022-12-30 · Atualizado 2023-08-08 · CVE-2022-43396

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Apache Kylin (versões afetadas não especificadas)

Descrição

O problema decorre de uma correção que utiliza uma lista negra para filtrar comandos de entrada do usuário, mas essa abordagem corre o risco de ser contornada. Um invasor pode potencialmente controlar o comando manipulando o parâmetro kylin.engine.spark-cmd do conf.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Command Injection

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-77

CWE-184

Identificadores relacionados

CVE-2022-43396

GHSA-F5Q9-J9R2-34GQ

Produtos afetados

Apache Kylin

Referências · 8

• https://github.com/apache/kylin/pull/2011 · Nota
• https://t.me/cibsecurity/55559 · Publicação no Telegram
• https://t.me/pentestingnews/31782 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-43396 · Nota de Segurança
• https://lists.apache.org/thread/ob2ks04zl5ms0r44cd74y1xdl1rzfd1r · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f5q9-j9r2-34gq · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-43396 · Aviso do Fabricante
• https://t.me/cvenotify/41004 · Publicação no Telegram