← voltar
CVE-2020-1956

CVE-2020-1956

CVSS 8.8 HIGHEPSS 98.0%● KEVCWE-78
Em resumo

O Apache Kylin possui APIs REST que executam comandos do sistema operacional combinando diretamente a entrada do usuário, permitindo que qualquer pessoa execute comandos maliciosos no servidor sem proteção.

Detalhe técnico

Vulnerabilidade de Injeção de Comando OS (CWE-78) nas APIs REST do Apache Kylin (versões ≤2.6.5 e ≤3.0.1) onde entrada do usuário é concatenada diretamente em execução de comandos do SO sem sanitização. Um atacante pode injetar comandos arbitrários para executar código remoto com os privilégios do processo Kylin.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Apache Kylin 2.3.0, and releases up to 2.6.5 and 3.0.1 has some restful apis which will concatenate os command with the user input string, a user is likely to be able to execute any os command without any protection or validation.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
Apache · Kylin
PoCs públicas encontradas — 1
githubgithub.com/b510/CVE-2020-1956★ 0
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →
Referências
https://community.sonarsource.com/t/apache-kylin-3-0-1-command-injection-vulnerability/25706https://lists.apache.org/thread.html/r021baf9d8d4ae41e8c8332c167c4fa96c91b5086563d9be55d2d7acf%40%3Ccommits.kylin.apache.org%3Ehttps://lists.apache.org/thread.html/r1332ef34cf8e2c0589cf44ad269fb1fb4c06addec6297f0320f5111d%40%3Cuser.kylin.apache.org%3Ehttps://lists.apache.org/thread.html/r250a867961cfd6e0506240a9c7eaee782d84c6ab0091c7c4bc45f3eb%40%3Cannounce.apache.org%3Ehttps://lists.apache.org/thread.html/r250a867961cfd6e0506240a9c7eaee782d84c6ab0091c7c4bc45f3eb%40%3Cdev.kylin.apache.org%3Ehttps://lists.apache.org/thread.html/r250a867961cfd6e0506240a9c7eaee782d84c6ab0091c7c4bc45f3eb%40%3Cuser.kylin.apache.org%3Ehttps://lists.apache.org/thread.html/r61666760d8a4e8764b2d5fe158d8a48b569414480fbfadede574cdc0%40%3Ccommits.kylin.apache.org%3Ehttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-1956http://www.openwall.com/lists/oss-security/2020/07/14/1