PT-2024-12192 · Apache · Apache Kylin

Li Jiakun · Publicado 2024-01-29 · Atualizado 2024-02-02 · CVE-2023-29055

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 2.0.0 a 4.0.3 do Apache Kylin

Descrição

O problema diz respeito à interface web Server Config no Apache Kylin, que exibe o conteúdo do arquivo kylin.properties. Esse arquivo pode conter credenciais do lado do servidor. Quando o serviço Kylin é executado via HTTP ou outros protocolos de texto simples, é possível que sniffers de rede interceptem a carga útil HTTP e acessem o conteúdo do kylin.properties, obtendo potencialmente as credenciais contidas nele.

Recomendações

• Para as versões 2.0.0 a 4.0.3, ative sempre o HTTPS para criptografar a carga de rede.
• Para as versões 2.0.0 a 4.0.3, evite colocar credenciais no kylin.properties, ou pelo menos não em texto simples.
• Para as versões 2.0.0 a 4.0.3, use firewalls de rede para proteger o lado do servidor, tornando-o inacessível a invasores externos.
• Atualize para a versão Apache Kylin 4.0.4, que filtra o conteúdo confidencial que vai para a interface web Server Config.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2023-29055

GHSA-3VVC-V8C2-43R7

Produtos afetados

Apache Kylin

Referências · 9

• https://github.com/apache/kylin · Nota
• https://github.com/apache/kylin/commit/b60d5ae694dffc2281bfe0ef464eada0b3a9b774 · Nota
• https://osv.dev/vulnerability/CVE-2023-29055 · Aviso do Fabricante
• https://t.me/cvenotify/69078 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-3vvc-v8c2-43r7 · Aviso do Fabricante
• https://lists.apache.org/thread/o1bvyv9wnfkx7dxpfjlor20nykgsoh6r · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-29055 · Nota de Segurança
• http://openwall.com/lists/oss-security/2024/01/29/1 · Nota
• https://t.me/cvenotify/69046 · Publicação no Telegram