Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2020-1956

Apache Kylin'de işletim sistemi komut enjeksiyonu açığı

Apache Kylin

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2350 gün
Kaydı açan
apache
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Nis 2022.

ÖzetTürkçe

Apache Kylin 2.3.0 ve 2.6.5'e kadar olan sürümler ile 3.0.1 sürümü, kullanıcı girdisi dizgesini işletim sistemi komutlarıyla birleştiren bazı RESTful API'lere sahiptir. Bir kullanıcının herhangi bir koruma veya doğrulama olmadan keyfi işletim sistemi komutlarını çalıştırabilmesi muhtemeldir.

Kaynaktaki açıklama (İngilizce)

Apache Kylin 2.3.0, and releases up to 2.6.5 and 3.0.1 has some restful apis which will concatenate os command with the user input string, a user is likely to be able to execute any os command without any protection or validation.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Kylin 2.3.0 –
≤ 2.6.5 –
≤ 3.0.1 –

Kaynaklar10 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.