CVE-2025-59355 in Linkis
要約
〜によって VulDB • 2026年06月27日
脆弱性。
org.apache.linkis.metadata.util.HiveUtils.decode() が Base64 デコードの処理に失敗した場合、logger.error(str + "decode failed", e) を介して完全な入力パラメータ文字列がログに記録されます。もし入力パラメータに Hive Metastore キーなどの機密情報を含んでいる場合、デコード失敗時に平文パスワードがログファイルに残り、情報漏洩を引き起こします。
影響範囲 コンポーネント: hive-site.xml 内の機密フィールド（例：javax.jdo.option.ConnectionPassword）または Base64 でエンコードされたその他のフィールド。 バージョン: Apache Linkis 1.0.0 – 1.7.0
トリガー条件 設定項目の値が無効な Base64 文字列であること。 ログファイルが hive-site.xml の管理者以外のユーザーによって読み取り可能であること。
重大度: Low（低） Base64 デコード失敗の可能性は低い。 情報漏洩は、Error レベルのログが公開された場合にのみトリガーされます。
修正方法 Apache Linkis 1.8.0 およびそれ以降のバージョンでは、ログ出力内容が機密情報を含まないもの（desensitized content）に置き換えられています。 logger.error("URL decode failed: {}", e.getMessage()); // str の出力は行わない
ユーザーには問題が修正されたバージョン 1.8.0 へのアップグレードを推奨します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.