最近の脆弱性 › CVE-2020-1956
Apache Kylin のOSコマンドインジェクションの脆弱性（CVE-2020-1956）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2020-1956 |
|---|---|
| 製品 | Apache Kylin |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-03-25 |
| 米国政府機関の対応期限 | 2022-04-15 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
Apache Kylin の一部の REST API が、利用者からの入力をそのまま OS のコマンドにつなげて実行してしまう弱点が見つかり、実際に悪用が確認されています。悪用されると、攻撃者が任意の（攻撃者が選んだ）OS のコマンドを実行できるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で攻撃できますが、一般の利用者程度の権限が必要で、利用者の操作は必要ありません。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apache Kylin を使っている組織が対象です。Apache Kylin の案内では、影響を受けるのは 2.3.0 から 2.3.2、2.4.0 から 2.4.1、2.5.0 から 2.5.2、2.6.0 から 2.6.5、そして 3.0.0-alpha から 3.0.1 までのバージョンです。
何をすればいい
Apache Kylin の案内に従い、3.0.2 または 2.6.6 以降に更新されているか確認してください。すぐに更新できない場合は、設定の kylin.tool.auto-migrate-cube.enabled を false にして、コマンドの実行を止めることができます。あわせて、Apache Kylin の公式の案内を確認してください。
やることチェックリスト
- Kylin を 3.0.2 または 2.6.6 以降に更新する
- auto-migrate-cube の設定を false にする
- Kylin のバージョンを確認する
用語メモ
- REST API
- ほかのプログラムがウェブの通信を使って、アプリの機能を呼び出すための窓口です。
- OS のコマンド
- コンピューターの基本ソフトに直接出す命令のことです。ファイルの操作やプログラムの起動などができます。
元データ（英語・CISA KEV より）
Apache Kylin OS Command Injection Vulnerability
概要
Apache Kylin contains an OS command injection vulnerability which could permit an attacker to perform remote code execution.
推奨対応
Apply updates per vendor instructions.