CVE-2025-59355 in Linkis
Sumário
de VulDB • 27/06/2026
Uma vulnerabilidade.
Quando `org.apache.linkis.metadata.util.HiveUtils.decode()` falha ao realizar a decodificação Base64, ele registra a string completa do parâmetro de entrada no log através de `logger.error(str + "decode failed", e)`. Se o parâmetro de entrada contiver informações sensíveis, como chaves do Hive Metastore ou senhas em texto puro, essas credenciais ficarão armazenadas nos arquivos de log quando a decodificação falhar, resultando em vazamento de informação.
Escopo Afetado Componente: Campos sensíveis no `hive-site.xml` (por exemplo, `javax.jdo.option.ConnectionPassword`) ou outros campos codificados em Base64. Versão: Apache Linkis 1.0.0 – 1.7.0
Condições de Gatilho O valor do item de configuração é uma string Base64 inválida. Os arquivos de log são legíveis por usuários que não sejam administradores do `hive-site.xml`.
Severidade: Baixa A probabilidade de falha na decodificação Base64 é baixa. O vazamento só ocorre quando os logs no nível Error estão expostos.
Remediação As versões Apache Linkis 1.8.0 e posteriores substituíram o log por conteúdo ofuscado (desensibilizado). `logger.error("URL decode failed: {}", e.getMessage()); // Não mais imprime str`
Recomenda-se que os usuários atualizem para a versão 1.8.0, que corrige o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.