Apache Kylin: OS-Command-Injection in der Verarbeitung von Spark-Jobs
Zusammenfassung
Apache Kylin in den Versionen 4.0.4 bis 5.0.4 enthält eine OS-Command-Injection-Schwachstelle (CWE-78) in der Verarbeitung von Spark-Jobs. Gemäss Hersteller betrifft das Hauptrisiko Kylin-Dienste, die direkt aus dem öffentlichen Internet erreichbar sind, während interne Installationen mehrheitlich nicht betroffen sind. Der Hersteller beschreibt die genauen Voraussetzungen für eine Ausnutzung nicht, und der im Input genannte CVSS-Wert von 8.8 konnte nicht anhand einer primären Quelle verifiziert werden.
Betroffen
- Apache Kylin 4.0.4 bis 5.0.4
- Versionen 4.0.0 bis 4.0.3: Unbekannt.
Behoben in
- Apache Kylin 5.0.5
- Ein Fix für den 4.x-Zweig: Unbekannt.
Umgehung
- Öffentliche Internetexposition von Kylin-Diensten entfernen und diese hinter einem VPN oder einer Firewall platzieren.
- Keine vom Hersteller dokumentierte temporäre Massnahme gefunden.
Ausnutzung
- In den geprüften Quellen ist keine Ausnutzung bekannt.
- Laut sekundären Quellen nicht im CISA-KEV-Katalog aufgeführt; der Katalog wurde nicht direkt geprüft.
- Laut einer sekundären Quelle wurde kein öffentlicher Proof-of-Concept festgestellt.
Unsere Empfehlung
- Alle Kylin-Instanzen und deren genaue Versionen erfassen und prüfen, ob sie aus dem Internet erreichbar sind.
- Zuerst die öffentliche Exposition entfernen, danach auf 5.0.5 aktualisieren.
- Protokolle auf ungewöhnliche Job-Übermittlungen auf jeder exponierten Instanz mit betroffener Version prüfen.
- NVD, die Apache-Ankündigung und CISA KEV erneut prüfen, sobald die offiziellen Bewertungen veröffentlicht sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread lists.apache.org
- oss-security: CVE-2026-108743 advisory www.openwall.com
- Strix CVE-2026-108743 www.strix.ai
- VulDB CVE-2026-108743 vuldb.com
- VulDB entry 421506 vuldb.com
- SecurityOnline: Apache Kylin vulnerabilities securityonline.info
- HOL Guard CVE-2026-108743 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.