Vulnerabilidade de Server-Side Request Forgery (SSRF) no Apache Kylin via Endpoint `/kylin/api/xxx/diag`

A exploração bem-sucedida desta vulnerabilidade SSRF permite que um atacante, possuindo privilégios de administrador no Apache Kylin, realize requisições para qualquer host interno acessível a partir do servidor Kylin. Isso pode levar ao vazamento de informações confidenciais expostas através do endpoint /kylin/api/xxx/diag, como dados de diagnóstico ou informações de configuração. O impacto potencial é limitado à rede interna, mas a exposição de informações sensíveis pode ter consequências significativas dependendo da natureza dos dados acessados. Embora não haja relatos públicos de exploração ativa, a facilidade de exploração, combinada com a necessidade de acesso de administrador, torna esta vulnerabilidade um risco a ser mitigado.

Organizations running Apache Kylin versions 5.0.0 and prior, particularly those with internal services accessible from the Kylin server, are at risk. Shared hosting environments where multiple users share a Kylin instance are also vulnerable, as an attacker could potentially exploit the vulnerability through a compromised user account.

• java / server: Monitor Kylin server logs for unusual outbound requests, particularly those targeting internal hosts or the /kylin/api/xxx/diag endpoint. Use network monitoring tools to detect suspicious connections originating from the Kylin server.

grep -i '/kylin/api/xxx/diag' /var/log/kylin/kylin.log

• java / supply-chain: Examine dependencies for known vulnerabilities that could be chained with this SSRF vulnerability. • generic web: Check for exposed internal services reachable from the Kylin server using tools like nmap or curl to identify potential targets for SSRF attacks.

1. 2025-03-27Disclosure

   disclosure

1. Reservado2024-10-09
2. Publicada2025-03-27
3. EPSS atualizado2026-04-02

A mitigação primária para esta vulnerabilidade é a atualização imediata para a versão 5.0.2 do Apache Kylin, que inclui a correção. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso à rede interna do servidor Kylin, limitando quais hosts internos podem ser acessados. Implementar regras de firewall para bloquear o tráfego de requisição para o endpoint /kylin/api/xxx/diag de fontes externas também pode ajudar a mitigar o risco. Monitore os logs do servidor Kylin em busca de requisições suspeitas ou não autorizadas.