教育数字化知识图谱

一 . 漏洞概述

近日， Apache 官方发布安全公告，修复了一个 Apache Kylin 的远程命令执行漏洞（ CVE-2020-1956 ）。在 Kylin 中存在一些 restful API ，可以将操作系统命令与用户输入的字符串连接起来，由于未对用户输入内容做合理校验，导致攻击者可以在未经验证的情况下执行任意系统命令。目前漏洞 PoC 已公开，请相关用户及时采取措施进行防护。

Apache Kylin 是 Apache 软件基金会的一款开源的、分布式的分析型数据仓库，主要提供 Hadoop/Spark 之上的 SQL 查询接口及多维分析（ OLAP ）能力，以支持超大规模数据。

参考链接：

https://www.mail-archive.com/dev@kylin.apache.org/msg11687.html

二 . 影响范围

受影响版本

l  Kylin 2.3.0 - 2.3.2

l  Kylin 2.4.0 - 2.4.1

l  Kylin 2.5.0 - 2.5.2

l  Kylin 2.6.0 - 2.6.5

l  Kylin 3.0.0-alpha

l  Kylin 3.0.0-alpha2

l  Kylin 3.0.0-beta

l  Kylin 3.0.0 - 3.0.1

不受影响版本

l  Kylin = 2.6.6

l  Kylin = 3.0.2

三 . 漏洞防护

3.1 官方升级

目前官方已在最新版本 2.6.6 与 3.0.2 中修复了该漏洞，请受影响的用户尽快升级版本进行防护，官方下载链接： http://kylin.apache.org/cn/download/

3.2 其他防护措施

若相关用户暂时无法进行升级操作，可采用以下临时缓解措施：

将 kylin.tool.auto-migrate-cube.enabled 设置为 false ， 以禁用命令执行。