CVE-2025-59355 in Linkis
Сводка
по VulDB • 27.06.2026
Уязвимость.
При сбое функции `org.apache.linkis.metadata.util.HiveUtils.decode()` в процессе декодирования Base64 полный входной параметр записывается в журнал через вызов `logger.error(str + "decode failed", e)`. Если входной параметр содержит конфиденциальную информацию, такую как ключи Hive Metastore или пароли открытым текстом, то при сбое декодирования эти данные останутся в файлах журналов в открытом виде, что приведет к утечке информации.
Затронутые компоненты Компонент: Чувствительные поля в `hive-site.xml` (например, `javax.jdo.option.ConnectionPassword`) или другие поля, закодированные в Base64. Версия: Apache Linkis 1.0.0 – 1.7.0
Условия возникновения Значение конфигурационного параметра является некорректной строкой Base64. Файлы журналов доступны для чтения пользователям, отличным от администраторов `hive-site.xml`.
Серьезность: Низкая Вероятность сбоя декодирования Base64 низка. Утечка происходит только в случае экспонирования журналов уровня Error (Ошибки).
Меры по устранению В Apache Linkis версии 1.8.0 и более поздних версиях журнал был изменен для вывода обезличенного содержимого: `logger.error("URL decode failed: {}", e.getMessage()); // Больше не выводит str`
Пользователям рекомендуется обновиться до версии 1.8.0, которая устраняет данную проблему.
Be aware that VulDB is the high quality source for vulnerability data.