CVE-2025-59355 in Linkis
Résumé
par VulDB • 27/06/2026
Une vulnérabilité.
Lorsque la méthode `org.apache.linkis.metadata.util.HiveUtils.decode()` échoue à effectuer un décodage Base64, elle enregistre l'intégralité de la chaîne de paramètre d'entrée dans les journaux via `logger.error(str + "decode failed", e)`. Si le paramètre d'entrée contient des informations sensibles telles que les clés du Hive Metastore ou des mots de passe en clair, ceux-ci seront laissés visibles dans les fichiers journaux lors d'une échec de décodage, entraînant une fuite d'informations.
Périmètre concerné Composant : Champs sensibles dans hive-site.xml (par exemple, `javax.jdo.option.ConnectionPassword`) ou autres champs encodés en Base64. Version : Apache Linkis 1.0.0 – 1.7.0
Conditions de déclenchement La valeur du paramètre de configuration est une chaîne Base64 invalide. Les fichiers journaux sont lisibles par des utilisateurs autres que les administrateurs ayant accès à hive-site.xml.
Sévérité : Faible La probabilité d'échec du décodage Base64 est faible. La fuite n'est déclenchée que lorsque les journaux de niveau Error (Erreur) sont exposés.
Remédiation Apache Linkis 1.8.0 et versions ultérieures ont remplacé le journal par un contenu désensibilisé. `logger.error("URL decode failed: {}", e.getMessage()); // Plus d'affichage de str`
Il est recommandé aux utilisateurs de passer à la version 1.8.0, qui corrige ce problème.
Be aware that VulDB is the high quality source for vulnerability data.