Kylin

Die Schwachstelle steckt in der Datenanalyse-Software Apache Kylin. Mehrere ihrer REST-Programmierschnittstellen (RESTful APIs) bilden Betriebssystem-Befehle, indem sie vom Nutzer übergebene Eingaben direkt in die Befehlszeichenkette einfügen. Eine Prüfung oder Bereinigung dieser Eingaben findet dabei nicht statt. Dadurch kann ein Angreifer eigene Betriebssystem-Befehle in die zusammengesetzte Kommandozeichenkette einschleusen und auf dem Server ausführen lassen – eine klassische Befehlsinjektion. Der Angriff erfolgt aus der Ferne über die offenliegenden Schnittstellen und ermöglicht im Ergebnis das Ausführen von beliebigem Code auf dem betroffenen System. Damit kann ein Angreifer die Kontrolle über den Server übernehmen, auf dem Apache Kylin betrieben wird. Betroffen ist die Server-Komponente von Apache Kylin; weil Kylin häufig auf große Datenbestände zugreift, kann eine Übernahme weitreichende Folgen für die dort verarbeiteten Daten haben.