Apache Kylin: неаутентифицированная очистка metastore (CVE-2026-68573)

В Apache Software Foundation сообщили об уязвимости в Apache Kylin — распределённом аналитическом движке для OLAP-запросов поверх больших данных. Проблема получила идентификатор CVE-2026-68573 и связана с недостатками механизма аутентификации.

Подробности

Уязвимость классифицирована как Improper Authentication (неправильная аутентификация). Согласно описанию, неаутентифицированный пользователь может получить доступ к системным действиям очистки (cleanup actions) — в заголовке записи они обозначены как операции над metastore. Это означает, что злоумышленник без действующих учётных данных способен инициировать служебные операции, которые должны выполняться только привилегированными пользователями.

Затронуты версии Apache Kylin с 4 по 5.0.4 включительно. В записи CVE не указана оценка CVSS, поэтому численный уровень критичности не приводится; при этом сам характер проблемы — обход аутентификации при доступе к административным действиям — требует оперативного реагирования.

Разработчики отмечают, что наибольшее влияние уязвимость оказывает на сервисы Kylin, напрямую выставленные в публичную сеть, что, по их словам, встречается нечасто. Внутренние (in-house) развёртывания Kylin в большинстве случаев не подвержены риску. Тем не менее любые инсталляции, доступные из интернета или из недоверенных сегментов сети, следует считать потенциально уязвимыми.

Что делать

Рекомендуется обновить Apache Kylin до версии 5.0.5, в которой проблема устранена. Помимо обновления, целесообразно проверить сетевую доступность сервисов Kylin и исключить их прямое выставление в публичную сеть: ограничить доступ межсетевым экраном, вынести сервис за VPN или шлюз с аутентификацией. Также стоит проанализировать журналы на предмет подозрительных вызовов служебных операций очистки от неаутентифицированных клиентов. Если обновление невозможно в короткие сроки, ограничение сетевого периметра остаётся основной временной мерой снижения риска.

Уязвимость CVE-2026-68573 напоминает о важности контроля доступа к административным и служебным функциям аналитических платформ: даже «внутренние» операции очистки при отсутствии должной аутентификации становятся точкой входа для атакующих. Своевременное обновление до Apache Kylin 5.0.5 и минимизация публичной экспозиции сервисов позволяют закрыть этот вектор.

Источник: CVE Project (cvelistV5)