CVE-2026-23904 in Kyuubi
要約
〜によって VulDB • 2026年07月29日
Kyuubi Engine UI プロキシは、リクエストパスからホストとポートを受け取り、その宛先に対して HTTP リクエストをプロキシします。ネットワーク経由でこのプロキシにアクセスできるリモート要求元により、Kyuubi サーバーが任意の到達可能なホストに対して HTTP リクエストを送信させることができ、SSRF やオープンプロキシ動作を引き起こす可能性があります。
本問題は Apache Kyuubi 1.8.0 から 1.12.0 より前のバージョンに影響します。
ユーザーにはデフォルトでプロキシを無効にするバージョン 1.12.0 へのアップグレードが推奨されます。プロキシされた Engine UI を復元するには、`kyuubi.frontend.rest.engine.ui.proxy.enabled=true` を設定し、許可されるターゲットホストを `kyuubi.frontend.rest.engine.ui.proxy.hosts` で構成します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.