Vulnérabilité Server-Side Request Forgery (SSRF) dans Apache Kylin via le point de terminaison `/kylin/api/xxx/diag`

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant d'initier des requêtes à partir du serveur Kylin vers d'autres services internes, même si ces services ne sont pas directement accessibles depuis l'extérieur. L'attaquant doit préalablement obtenir un accès administrateur au serveur Kylin et le service cible doit exposer l'endpoint /kylin/api/xxx/diag. Les informations divulguées dépendent de ce que le service interne expose via cet endpoint, mais pourraient inclure des données de configuration, des informations d'identification ou d'autres données sensibles. Bien que la CVSS score soit faible, l'accès administrateur requis limite le risque, mais une compromission du serveur Kylin pourrait avoir des conséquences significatives.

Organizations running Apache Kylin versions 5.0.0 and prior, particularly those with internal services accessible from the Kylin server, are at risk. Shared hosting environments where multiple users share a Kylin instance are also vulnerable, as an attacker could potentially exploit the vulnerability through a compromised user account.

• java / server: Monitor Kylin server logs for unusual outbound requests, particularly those targeting internal hosts or the /kylin/api/xxx/diag endpoint. Use network monitoring tools to detect suspicious connections originating from the Kylin server.

grep -i '/kylin/api/xxx/diag' /var/log/kylin/kylin.log

• java / supply-chain: Examine dependencies for known vulnerabilities that could be chained with this SSRF vulnerability. • generic web: Check for exposed internal services reachable from the Kylin server using tools like nmap or curl to identify potential targets for SSRF attacks.

1. 2025-03-27Disclosure

   disclosure

1. Réservé2024-10-09
2. Publiée2025-03-27
3. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour Apache Kylin vers la version 5.0.2 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de restreindre l'accès au serveur Kylin et de surveiller attentivement les journaux d'accès pour détecter toute activité suspecte. Envisagez également de configurer un pare-feu ou un proxy inverse pour bloquer les requêtes sortantes vers des destinations non autorisées. Il n'existe pas de signature Sigma ou YARA spécifique connue pour cette vulnérabilité, mais une surveillance des requêtes sortantes vers des endpoints inhabituels peut aider à la détecter.