CVE-2025-66518
WysokieStreszczenie
Każdy klient mający dostęp do serwera Apache Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allow.list i używać lokalnych plików, które nie są na tej liście. Podatność dotyczy wersji od 1.6.0 do 1.10.2.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do lokalnych plików serwera, co może prowadzić do wycieku wrażliwych danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache Kyuubi do wersji 1.10.3 lub nowszej, która zawiera poprawkę.
Inne podatności w Apache Kyuubi
Zobacz wszystkie- CVE-2026-52680Krytyczne
Apache Kyuubi w wersjach od 1.7.0 do 1.11.1 jest podatny na atak typu path traversal podczas obsługi wieloczęściowego przesyłania plików REST batch. Atakujący może podać sekwencje path traversal w nazwie pliku, co pozwala na zapis treści poza zamierzonym katalogiem.
- CVE-2026-62391Wysokie
Poprawka bezpieczeństwa dla CVE-2025-66518 w Apache Kyuubi jest niekompletna. Każdy klient mający dostęp do serwera Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allowlist za pomocą aliasów konfiguracyjnych Spark bez prefiksu. Problem dotyczy wersji od 1.6.0 przed 1.12.0.
- CVE-2026-23904Wysokie
Kyuubi Engine UI proxy akceptuje host i port z ścieżki żądania i przekierowuje żądania HTTP do tego miejsca. Zdalny atakujący z dostępem sieciowym do proxy może wysyłać żądania HTTP do dowolnych osiągalnych hostów, co prowadzi do SSRF lub zachowania otwartego proxy.
Oryginalny opis (angielski, źródło NVD)
Any client who can access to Apache Kyuubi Server via Kyuubi frontend protocols can bypass server-side config kyuubi.session.local.dir.allow.list and use local files which are not listed in the config. This issue affects Apache Kyuubi: from 1.6.0 through 1.10.2. Users are recommended to upgrade to version 1.10.3 or upper, which fixes the issue.