CVE-2026-62391
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Poprawka bezpieczeństwa dla CVE-2025-66518 w Apache Kyuubi jest niekompletna. Każdy klient mający dostęp do serwera Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allowlist za pomocą aliasów konfiguracyjnych Spark bez prefiksu. Problem dotyczy wersji od 1.6.0 przed 1.12.0.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia listy dozwolonych katalogów lokalnych, co może prowadzić do nieautoryzowanego dostępu do plików lub wykonania kodu w kontekście serwera Kyuubi.
Rekomendacja
Zaleca się aktualizację Apache Kyuubi do wersji 1.12.0, która zawiera pełną poprawkę.
Inne podatności w Apache Kyuubi
Zobacz wszystkie- CVE-2025-66518Wysokie
Każdy klient mający dostęp do serwera Apache Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allow.list i używać lokalnych plików, które nie są na tej liście. Podatność dotyczy wersji od 1.6.0 do 1.10.2.
- CVE-2026-52680Krytyczne
Apache Kyuubi w wersjach od 1.7.0 do 1.11.1 jest podatny na atak typu path traversal podczas obsługi wieloczęściowego przesyłania plików REST batch. Atakujący może podać sekwencje path traversal w nazwie pliku, co pozwala na zapis treści poza zamierzonym katalogiem.
- CVE-2026-23904Wysokie
Kyuubi Engine UI proxy akceptuje host i port z ścieżki żądania i przekierowuje żądania HTTP do tego miejsca. Zdalny atakujący z dostępem sieciowym do proxy może wysyłać żądania HTTP do dowolnych osiągalnych hostów, co prowadzi do SSRF lub zachowania otwartego proxy.
Oryginalny opis (angielski, źródło NVD)
The security fix for CVE-2025-66518 is incomplete. Any client who can access to Apache Kyuubi Server via Kyuubi frontend protocols can bypass server-side config kyuubi.session.local.dir.allowlist via unprefixed Spark config aliases. This issue affects Apache Kyuubi: from 1.6.0 before 1.12.0. Users are recommended to upgrade to version 1.12.0, which fixes the issue.