Apache Kylin サーバーサイドリクエストフォージェリ (SSRF) via `/kylin/api/xxx/diag` エンドポイント

このSSRF脆弱性を悪用されると、攻撃者はKylinサーバーの管理者権限を取得し、内部ネットワーク上の他のサーバーに対して不正なリクエストを送信できます。これにより、機密情報（API診断情報など）が漏洩する可能性があります。攻撃者は、Kylinサーバーを足がかりに、内部ネットワークへの侵入を試みることも考えられます。この脆弱性は、Apache Log4Shellと同様に、内部ネットワークへのアクセス権を得るための足がかりとして悪用される可能性があります。

Organizations running Apache Kylin versions 5.0.0 and prior, particularly those with internal services accessible from the Kylin server, are at risk. Shared hosting environments where multiple users share a Kylin instance are also vulnerable, as an attacker could potentially exploit the vulnerability through a compromised user account.

• java / server: Monitor Kylin server logs for unusual outbound requests, particularly those targeting internal hosts or the /kylin/api/xxx/diag endpoint. Use network monitoring tools to detect suspicious connections originating from the Kylin server.

grep -i '/kylin/api/xxx/diag' /var/log/kylin/kylin.log

• java / supply-chain: Examine dependencies for known vulnerabilities that could be chained with this SSRF vulnerability. • generic web: Check for exposed internal services reachable from the Kylin server using tools like nmap or curl to identify potential targets for SSRF attacks.

1. 2025-03-27Disclosure

   disclosure

1. 予約済み2024-10-09
2. 公開日2025-03-27
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Apache Kylinをバージョン5.0.2にアップグレードすることです。アップグレードが困難な場合は、Kylinサーバーのファイアウォールを設定し、不要なポートを閉じ、内部ネットワークへのアクセスを制限してください。また、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することも有効です。API診断エンドポイントへのアクセスを制限することも重要です。