PT-2025-38624 · Apache · Apache Linkis

Kinghao + 2 · Publicado 2025-09-19 · Atualizado 2026-01-19 · CVE-2025-59355

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Linkis versões 1.0.0 a 1.7.0

Descrição Existe uma falha na qual a função decode() dentro de org.apache.linkis.metadata.util.HiveUtils não trata adequadamente as falhas de decodificação Base64. Quando a decodificação falha, o parâmetro de entrada completo, que pode conter informações sensíveis como chaves do Hive Metastore ou senhas em texto claro, é registrado no nível de erro. Isso pode levar ao vazamento de informações se os arquivos de log estiverem acessíveis a usuários não autorizados. A probabilidade de falha na decodificação Base64 é baixa, e o vazamento só é acionado quando logs de nível de erro são expostos.

Recomendações Atualize para o Apache Linkis versão 1.8.0 ou posterior, que substitui o registro do parâmetro de entrada por conteúdo dessensibilizado.

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2025-59355

GHSA-6VFR-P2HX-6V32

Produtos afetados

Apache Linkis

Referências · 9

• https://github.com/apache/linkis · Nota
• https://twitter.com/oss_security/status/1969089149161418955 · Publicação no Twitter
• https://lists.apache.org/thread/4dcgmqdkk2p5y4k43ok5rgd4ylx8698h · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-59355 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-59355 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2025/09/19/1 · Nota
• https://lists.apache.org/thread/75z7vhftw6w1mllndgpkfmcj0fzo4lbj · Correção
• https://osv.dev/vulnerability/GHSA-6vfr-p2hx-6v32 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2013173938625626538 · Publicação no Twitter