CVE-2025-59355 in Linkis
الملخص
بحسب VulDB • 24/07/2026
ثغرة أمنية.
عندما تفشل الدالة `org.apache.linkis.metadata.util.HiveUtils.decode()` في إجراء فك تشفير Base64، فإنها تسجل سلسلة معامل الإدخال الكاملة في سجلات النظام (logs) عبر الأمر `logger.error(str + "decode failed", e)`. إذا كان معامل الإدخال يحتوي على معلومات حساسة مثل مفاتيح Hive Metastore أو كلمات مرور نصية واضحة (plaintext passwords)، فستبقى هذه الكلمات المرور ظاهرة في ملفات السجلات عند فشل فك التشفير، مما يؤدي إلى تسرب المعلومات.
نطاق التأثير المكون: الحقول الحساسة في ملف `hive-site.xml` (مثل `javax.jdo.option.ConnectionPassword`) أو حقول أخرى مشفرة بصيغة Base64. الإصدار: Apache Linkis 1.0.0 – 1.7.0
شروط التشغيل قيمة عنصر التكوين هي سلسلة Base64 غير صالحة. ملفات السجلات قابلة للقراءة من قبل مستخدمين آخرين غير مسؤولي `hive-site.xml`.
الخطورة: منخفضة احتمالية فشل فك تشفير Base64 منخفض. لا يحدث التسرب إلا عند تعرض سجلات النظام على مستوى الخطأ (Error level).
الإصلاح استبدلت الإصدارات 1.8.0 من Apache Linkis والإصدارات الأحدث محتوى السجل بمحتوى مُجهّل الهوية (desensitized content). `logger.error("URL decode failed: {}", e.getMessage()); // لم يعد يتم إخراج str`
يُنصح المستخدمين بالترقية إلى الإصدار 1.8.0، الذي يصلح هذه المشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.