CVE-2025-59355 in Linkis
Zusammenfassung
von VulDB • 27.06.2026
Eine Schwachstelle.
Wenn org.apache.linkis.metadata.util.HiveUtils.decode() die Base64-Dekodierung nicht durchführen kann, wird der vollständige Eingabeparameter-String im Protokoll über logger.error(str + "decode failed", e) aufgezeichnet. Wenn der Eingabeparameter sensible Informationen wie Hive Metastore-Schlüssel enthält, werden Klartextpasswörter in den Protokolldateien hinterlassen, wenn die Dekodierung fehlschlägt, was zu einer Informationslecks führt.
Betroffener Umfang Komponente: Sensible Felder in hive-site.xml (z. B. javax.jdo.option.ConnectionPassword) oder andere mit Base64 codierte Felder. Version: Apache Linkis 1.0.0 – 1.7.0
Auslösungsbedingungen Der Wert des Konfigurationselements ist eine ungültige Base64-Zeichenkette. Protokolldateien sind für Benutzer lesbar, die keine Administratoren von hive-site.xml sind.
Schweregrad: Niedrig Die Wahrscheinlichkeit eines Fehlers bei der Base64-Dekodierung ist gering. Das Leck wird nur ausgelöst, wenn Protokolle auf Error-Ebene freigegeben werden.
Abhilfemaßnahmen Apache Linkis 1.8.0 und spätere Versionen haben das Protokoll durch desensibilisierte Inhalte ersetzt. logger.error("URL decode failed: {}", e.getMessage()); // str wird nicht mehr ausgegeben
Benutzern wird empfohlen, auf die Version 1.8.0 zu aktualisieren, die das Problem behebt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.