Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现

  • A+
所属分类:安全文章

漏洞概述

 

Apache Kylin是一个开源的分布式分析引擎,它最初由eBay开发,现在是Apache Software Foundation的项目。Apache Kylin建立在Apache HadoopApache HiveApache HBaseApache ParquetApache CalciteApache Spark和其他技术之上。这些技术使Kylin可以轻松扩展以支持海量数据负载。

Apache Kylin 有一个restful api会在没有认可认证的情况下暴露配置信息。 

攻击者可利用该漏洞获取系统敏感信息。

 

影响版本

 

Kylin 2.x.x 

Kylin <= 3.1.0 

Kylin 4.0.0-alpha

漏洞复现

 

docker拉取镜像

docker pull apachekylin/apache-kylin-standalone:3.1.0

Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现


docker启动环境docker run -d -m 8G -p 7070:7070 -p 8088:8088 -p 50070:50070 -p 8032:8032 -p 8042:8042 -p 16010:16010 apachekylin/apache-kylin-standalone:3.1.0


 

Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现


访问http://127.0.0.1:7070/kylin/login即可看到页面

 

Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现


 

漏洞复现

 

Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现


访问http://127.0.0.1:7070/kylin/api/admin/config即可看到配置信息

 

 

修复建议

 

升级到安全版本,或执行以下缓解措施:

编辑 "$KYLIN_HOME/WEB-INF/classes/kylinSecurity.xml"删除下列行 "<scr:intercept-url pattern="/api/admin/config" access="permitAll"/>"


Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现


重启 Kylin实例以使其生效。

 


本文始发于微信公众号(锋刃科技):Apache Kylin的未授权配置泄露漏洞(CVE-2020-13937)复现

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: