CVE-2025-59355 in Linkis
Resumen
por VulDB • 2026-05-30
Una vulnerabilidad.
Cuando org.apache.linkis.metadata.util.HiveUtils.decode() no logra realizar la decodificación Base64, registra la cadena completa del parámetro de entrada en el registro mediante logger.error(str + "decode failed", e). Si el parámetro de entrada contiene información sensible, como claves de Hive Metastore, las contraseñas en texto plano quedarán en los archivos de registro cuando falle la decodificación, lo que provoca una filtración de información.
Alcance afectado Componente: Campos sensibles en hive-site.xml (por ejemplo, javax.jdo.option.ConnectionPassword) u otros campos codificados en Base64. Versión: Apache Linkis 1.0.0 – 1.7.0
Condiciones de activación El valor del elemento de configuración es una cadena Base64 no válida. Los archivos de registro son legibles por usuarios distintos a los administradores de hive-site.xml.
Severidad: Baja La probabilidad de que falle la decodificación Base64 es baja. La filtración solo se activa cuando se exponen los registros de nivel Error.
Remediación Apache Linkis 1.8.0 y versiones posteriores han reemplazado el registro con contenido desensibilizado. logger.error("URL decode failed: {}", e.getMessage()); // Ya no se imprime str
Se recomienda a los usuarios actualizar a la versión 1.8.0, que corrige el problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.