发布日期：2020-05-22
更新日期：2020-06-04

受影响系统：

Apache Group Kylin 3.0.0-beta
Apache Group Kylin 3.0.0-alpha2
Apache Group Kylin 3.0.0-alpha
Apache Group Kylin 3.0.0 – 3.0.1
Apache Group Kylin 2.6.0 – 2.6.5
Apache Group Kylin 2.5.0 – 2.5.2
Apache Group Kylin 2.4.0 – 2.4.1
Apache Group Kylin 2.3.0 – 2.3.2

描述：

---

CVE(CAN) ID: CVE-2020-1956

Apache Kylin是Apache软件基金会的一款开源的、分布式的分析型数据仓库，主要提供Hadoop/Spark之上的SQL查询接口及多维分析（OLAP）能力，以支持超大规模数据。

Kylin某些版本中存在一些restful API，可以将操作系统命令与用户输入的字符串连接起来，由于未对用户输入内容做合理校验，导致攻击者可以在未经验证的情况下执行任意系统命令。

<*来源：Johannes Dahse
  *>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

*将kylin.tool.auto-migrate-cube.enabled 设置为 false， 以禁用命令执行。

厂商补丁：

Apache Group
------------
目前官方已在最新版本2.6.6与3.0.2中修复了该漏洞，请受影响的用户尽快升级版本进行防护，官方下载链接：

http://kylin.apache.org/cn/download/

浏览次数：1346
严重程度：0（网友投票）