CVE-2025-59355 in Linkis
Tóm tắt
Bởi VulDB • 27/06/2026
Một lỗ hổng bảo mật.
Khi hàm `org.apache.linkis.metadata.util.HiveUtils.decode()` không thực hiện được giải mã Base64, nó sẽ ghi toàn bộ chuỗi tham số đầu vào vào nhật ký (log) thông qua lệnh `logger.error(str + "decode failed", e)`. Nếu tham số đầu vào chứa thông tin nhạy cảm như các khóa của Hive Metastore hoặc mật khẩu dạng văn bản rõ (plaintext), thì khi quá trình giải mã thất bại, những mật khẩu này sẽ bị lưu lại dưới dạng văn bản rõ trong các tệp nhật ký, dẫn đến rò rỉ thông tin.
Phạm vi ảnh hưởng Thành phần: Các trường nhạy cảm trong `hive-site.xml` (ví dụ: `javax.jdo.option.ConnectionPassword`) hoặc các trường khác được mã hóa Base64. Phiên bản: Apache Linkis 1.0.0 – 1.7.0
Điều kiện kích hoạt Giá trị của mục cấu hình là một chuỗi Base64 không hợp lệ. Các tệp nhật ký có thể đọc được bởi người dùng ngoài quản trị viên của `hive-site.xml`.
Mức độ nghiêm trọng: Thấp Xác suất xảy ra lỗi giải mã Base64 là thấp. Việc rò rỉ thông tin chỉ kích hoạt khi các bản ghi ở mức Error (Lỗi) bị lộ.
Khắc phục Apache Linkis phiên bản 1.8.0 trở lên đã thay thế nội nhật ký bằng dữ liệu đã được ẩn/diệt nhạy cảm: `logger.error("URL decode failed: {}", e.getMessage()); // Không còn xuất ra str`
Người dùng được khuyến nghị nâng cấp lên phiên bản 1.8.0, phiên bản này đã khắc phục sự cố.
Be aware that VulDB is the high quality source for vulnerability data.