Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现

漏洞概述

Apache Kylin是一个开源的分布式分析引擎，它最初由eBay开发，现在是Apache Software Foundation的项目。Apache Kylin建立在Apache Hadoop，Apache Hive，Apache HBase，Apache Parquet，Apache Calcite，Apache Spark和其他技术之上。这些技术使Kylin可以轻松扩展以支持海量数据负载。

Apache Kylin 有一个restful api会在没有认可认证的情况下暴露配置信息。 

攻击者可利用该漏洞获取系统敏感信息。

影响版本

Kylin 2.x.x 

Kylin <= 3.1.0 

Kylin 4.0.0-alpha

漏洞复现

docker拉取镜像

docker pull apachekylin/apache-kylin-standalone:3.1.0

docker启动环境docker run -d -m 8G -p 7070:7070 -p 8088:8088 -p 50070:50070 -p 8032:8032 -p 8042:8042 -p 16010:16010 apachekylin/apache-kylin-standalone:3.1.0

访问http://127.0.0.1:7070/kylin/login即可看到页面

漏洞复现

访问http://127.0.0.1:7070/kylin/api/admin/config即可看到配置信息

修复建议

升级到安全版本，或执行以下缓解措施：

编辑 "$KYLIN_HOME/WEB-INF/classes/kylinSecurity.xml"；删除下列行 "<scr:intercept-url pattern="/api/admin/config" access="permitAll"/>"；

重启 Kylin实例以使其生效。

本文始发于微信公众号（锋刃科技）：Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现