Apache Kylin 远程命令执行漏洞（CVE-2020-1956）通告
2020-05-29
一. 漏洞概述
近日，Apache官方发布安全公告，修复了一个Apache Kylin的远程命令执行漏洞（CVE-2020-1956）。在Kylin中存在一些restful API，可以将操作系统命令与用户输入的字符串连接起来，由于未对用户输入内容做合理校验，导致攻击者可以在未经验证的情况下执行任意系统命令。目前漏洞PoC已公开，请相关用户及时采取措施进行防护。
Apache Kylin是Apache软件基金会的一款开源的、分布式的分析型数据仓库，主要提供Hadoop/Spark之上的SQL查询接口及多维分析（OLAP）能力，以支持超大规模数据。
参考链接：
https://www.mail-archive.com/[email protected]/msg11687.html
二. 影响范围
受影响版本
l Kylin 2.3.0 - 2.3.2
l Kylin 2.4.0 - 2.4.1
l Kylin 2.5.0 - 2.5.2
l Kylin 2.6.0 - 2.6.5
l Kylin 3.0.0-alpha
l Kylin 3.0.0-alpha2
l Kylin 3.0.0-beta
l Kylin 3.0.0 - 3.0.1
不受影响版本
l Kylin = 2.6.6
l Kylin = 3.0.2
三. 漏洞防护
3.1 官方升级
目前官方已在最新版本2.6.6与3.0.2中修复了该漏洞，请受影响的用户尽快升级版本进行防护，官方下载链接：http://kylin.apache.org/cn/download/
3.2 其他防护措施
若相关用户暂时无法进行升级操作，可采用以下临时缓解措施：
将kylin.tool.auto-migrate-cube.enabled 设置为 false， 以禁用命令执行。
声明
本安全公告仅用来描述可能存在的安全问题，海王捕鱼不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，海王捕鱼以及安全公告作者不为此承担任何责任。
海王捕鱼拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经海王捕鱼允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于海王捕鱼
海王捕鱼集团股份有限公司（简称海王捕鱼）成立于2000年4月，总部位于北京。在国内外设有40多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，海王捕鱼在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
海王捕鱼集团股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：海王捕鱼，股票代码：300369。
