Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-03401

Опубликовано: 06 янв. 2022
Источник: fstec
CVSS3: 7.5
CVSS2: 5
EPSS Низкий

Описание

Уязвимость компонента StreamingCoordinatorController.java (/kylin/api/streaming_coordinator/*) платформы обработки данных Kylin связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять атаки SSRF с помощью специально созданного HTTP-запроса

Вендор

Apache Software Foundation

Наименование ПО

Kylin

Версия ПО

от 3.0.0 до 3.1.2 (Kylin)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://lists.apache.org/thread/vkohh0to2vzwymyb2x13fszs3cs3vd70

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 84%
0.02184
Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 7.5
nvd
около 4 лет назад

All request mappings in `StreamingCoordinatorController.java` handling `/kylin/api/streaming_coordinator/*` REST API endpoints did not include any security checks, which allowed an unauthenticated user to issue arbitrary requests, such as assigning/unassigning of streaming cubes, creation/modification and deletion of replica sets, to the Kylin Coordinator. For endpoints accepting node details in HTTP message body, unauthenticated (but limited) server-side request forgery (SSRF) can be achieved. This issue affects Apache Kylin Apache Kylin 3 versions prior to 3.1.2.

github
около 4 лет назад

Server-Side Request Forgery in Apache Kylin

EPSS

Процентиль: 84%
0.02184
Низкий

7.5 High

CVSS3

5 Medium

CVSS2