🇰🇷 한글 설명
Apache Kylin 2.0.0에서 4.0.3 버전 사이의 Server Config 웹 인터페이스에서 'kylin.properties' 파일의 내용을 노출하는 취약점이 발견되었습니다. 이 파일에는 서버 측 자격 증명이 포함될 수 있으며, HTTP와 같은 평문 프로토콜을 사용할 경우 네트워크 스니핑을 통해 정보가 탈취될 수 있습니다.
💡 쉬운 설명
웹 설정 화면을 통해 서버의 비밀번호가 담긴 설정 파일이 노출될 수 있는 문제입니다. 암호화되지 않은 네트워크를 사용하면 해커가 중간에서 이 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
In Apache Kylin version 2.0.0 to 4.0.3, there is a Server Config web interface that displays the content of file 'kylin.properties', that may contain serverside credentials. When the kylin service runs over HTTP (or other plain text protocol), it is possible for network sniffers to hijack the HTTP payload and get access to the content of kylin.properties and potentially the containing credentials.
To avoid this threat, users are recommended to
* Always turn on HTTPS so that network payload is encrypted.
* Avoid putting credentials in kylin.properties, or at least not in plain text.
* Use network firewalls to protect the serverside such that it is not accessible to external attackers.
* Upgrade to version Apache Kylin 4.0.4, which filters out the sensitive content that goes to the Server Config web interface.
📍 영향받는 시스템
Apache Kylin version 2.0.0 to 4.0.3
⚔️ 공격 벡터
HTTP 프로토콜 사용 시 네트워크 스니핑을 통한 데이터 탈취
🛡️ 대응 방법
Apache Kylin 4.0.4 버전으로 업그레이드하고 HTTPS를 적용하며, 설정 파일 내 자격 증명을 암호화하십시오.
🔧 검증 코드
명령어 결과에 kylin.properties 파일의 내용이나 민감한 설정 값이 포함되어 출력되면 취약한 상태입니다.
curl -s http://<kylin-server-ip>:<port>/kylin/config | grep -i 'kylin.properties'