← volver
CVE-2020-1956

CVE-2020-1956

CVSS 8.8 HIGHEPSS 98.0%● KEVCWE-78
En resumen

Apache Kylin tiene APIs REST que ejecutan comandos del sistema operativo combinando directamente la entrada del usuario, permitiendo que cualquiera ejecute comandos maliciosos en el servidor sin protección.

Detalle técnico

Vulnerabilidad de Inyección de Comandos OS (CWE-78) en las APIs REST de Apache Kylin (versiones ≤2.6.5 y ≤3.0.1) donde la entrada del usuario se concatena directamente en la ejecución de comandos del SO sin sanitización. Un atacante puede inyectar comandos arbitrarios para ejecutar código remoto con los privilegios del proceso Kylin.

Resumen generado y traducido por IA a partir de la descripción oficial.
Apache Kylin 2.3.0, and releases up to 2.6.5 and 3.0.1 has some restful apis which will concatenate os command with the user input string, a user is likely to be able to execute any os command without any protection or validation.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache · Kylin
PoCs públicas encontradas — 1
githubgithub.com/b510/CVE-2020-1956★ 0
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →
Referencias
https://community.sonarsource.com/t/apache-kylin-3-0-1-command-injection-vulnerability/25706https://lists.apache.org/thread.html/r021baf9d8d4ae41e8c8332c167c4fa96c91b5086563d9be55d2d7acf%40%3Ccommits.kylin.apache.org%3Ehttps://lists.apache.org/thread.html/r1332ef34cf8e2c0589cf44ad269fb1fb4c06addec6297f0320f5111d%40%3Cuser.kylin.apache.org%3Ehttps://lists.apache.org/thread.html/r250a867961cfd6e0506240a9c7eaee782d84c6ab0091c7c4bc45f3eb%40%3Cannounce.apache.org%3Ehttps://lists.apache.org/thread.html/r250a867961cfd6e0506240a9c7eaee782d84c6ab0091c7c4bc45f3eb%40%3Cdev.kylin.apache.org%3Ehttps://lists.apache.org/thread.html/r250a867961cfd6e0506240a9c7eaee782d84c6ab0091c7c4bc45f3eb%40%3Cuser.kylin.apache.org%3Ehttps://lists.apache.org/thread.html/r61666760d8a4e8764b2d5fe158d8a48b569414480fbfadede574cdc0%40%3Ccommits.kylin.apache.org%3Ehttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-1956http://www.openwall.com/lists/oss-security/2020/07/14/1