Cloudera Hue Ace Editor 目录遍历信息泄露漏洞

该漏洞允许未经身份验证的攻击者通过构造恶意请求来访问 Cloudera Hue 服务器上的敏感文件。攻击者可以利用此漏洞读取配置文件、密钥文件或其他包含敏感信息的文档。潜在影响包括数据泄露、服务中断以及可能进一步的系统入侵。由于无需身份验证，攻击者可以轻松利用此漏洞，造成广泛的安全风险。此漏洞的潜在影响类似于其他目录遍历漏洞，可能导致对系统和数据的严重损害。

Organizations utilizing Cloudera Hue version 4.11.0, particularly those with publicly accessible Hue instances or those lacking robust file access controls, are at significant risk. Shared hosting environments where multiple users share the same Hue instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability to access data belonging to other users.

• linux / server:

journalctl -u hue -g "Ace Editor" | grep -i "file access"

• generic web:

curl -I <hue_url>/ace/editor/index.html?file=/etc/passwd

• generic web:

grep -r "ace/editor/index.html?file=" /var/log/apache2/access.log

1. 2025-05-22Disclosure

   disclosure

1. 已保留2025-04-22
2. 发布日期2025-05-22
3. EPSS 更新日期2026-03-23

为了减轻 CVE-2025-3884 的风险，建议立即升级到 Cloudera Hue 4.11.1 或更高版本。如果无法立即升级，可以考虑实施临时缓解措施，例如限制对 Ace Editor 的访问权限，并审查 Hue 服务器上的文件权限。此外，应监控 Hue 服务器上的日志文件，以检测任何可疑活动。升级后，请验证漏洞是否已成功修复，例如尝试访问受保护的文件，确认访问被拒绝。