CVE-2025-59355 in Linkis
요약
\~에 의해 VulDB • 2026. 06. 27.
취약점 요약
org.apache.linkis.metadata.util.HiveUtils.decode() 메서드가 Base64 디코딩을 수행하지 못할 경우, logger.error(str + "decode failed", e)를 통해 전체 입력 파라미터 문자열이 로그에 기록됩니다. 만약 입력 파라미터에 Hive Metastore 키와 같은 민감한 정보가 포함되어 있고 디코딩 실패 시 평문 비밀번호가 로그 파일에 남게 되면 정보 유출로 이어집니다.
영향 범위 컴포넌트: hive-site.xml의 민감 필드(예: javax.jdo.option.ConnectionPassword) 또는 Base64로 인코딩된 기타 필드 버전: Apache Linkis 1.0.0 – 1.7.0
발생 조건 구성 항목 값이 유효하지 않은 Base64 문자열인 경우 로그 파일이 hive-site.xml 관리자를 제외한 다른 사용자에게 읽기 가능한 상태일 때
심각도: 낮음 Base64 디코딩 실패 확률이 낮습니다. 또한 Error 레벨의 로그가 노출되었을 때만 유출이 발생합니다.
해결 방안 Apache Linkis 1.8.0 이상 버전에서는 로그 내용을 비식별화(desensitized)된 내용으로 대체했습니다. logger.error("URL decode failed: {}", e.getMessage()); // str 출력 제거
사용자는 해당 문제가 수정된 버전 1.8.0으로 업그레이드하는 것이 권장됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.