CVE-2026-62390: Kritisk SQL-sårbarhed i Apache Kylin

CVE-2026-62390 er en sårbarhed i Apache Kylin, et system til analyse af store datamængder. Fejlen er en SQL-indsprøjtning, hvor et backend-API, der opdaterer tabelkataloget, sætter data ind i en SQL-forespørgsel uden ordentlig kontrol. En angriber kan derfor indsætte egen kode i forespørgslen og få databasen til at udføre kommandoer, den ikke skulle. Fejlen kræver ingen login og ingen handling fra en bruger, og den kan udnyttes over netværket, hvilket gør den nem at angribe automatisk.

Sårbarheden rammer Apache Kylin fra version 4.0.0 til og med 5.0.3. Det gælder virksomheder og kommuner, der bruger Kylin til at bygge analyseplatforme eller BI-løsninger ovenpå store datamængder, typisk i forbindelse med Hadoop eller Spark. Er jeres installation eksponeret mod internettet eller tilgængelig for flere afdelinger internt, er risikoen størst.

En angriber kan læse, ændre eller slette data i den bagvedliggende database uden at have gyldige adgangsoplysninger. I praksis kan det betyde udtræk af følsomme forretningsdata, manipulation af rapporter og analyser, eller i værste fald at hele databasen bliver ubrugelig. Da sårbarheden også kan bruges til at få yderligere fodfæste i systemet, kan konsekvensen sprede sig til andre dele af jeres it-miljø.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Det påvirker fortrolighed, integritet og tilgængelighed i højeste grad. Der er ikke belæg for, at sårbarheden er udnyttet i praksis endnu, men den lave angrebskompleksitet betyder, at den kan blive det hurtigt, når fejlen er offentligt kendt.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér Apache Kylin til version 5.0.4, hvor fejlen er rettet.
2. Kan I ikke opdatere med det samme, så afskær adgang til det pågældende backend-API fra internettet og begræns det til betroede interne systemer.
3. Gennemgå logfiler for uventede forespørgsler mod tabelkatalog-API’et for at se, om der allerede er sket forsøg på udnyttelse.
4. Tag en sikkerhedskopi af databasen, inden I opdaterer, så I kan genskabe data hvis noget går galt under opgraderingen.
5. Underret jeres dataansvarlige, hvis Kylin behandler personoplysninger, så det er klart, om en eventuel udnyttelse skal vurderes efter databeskyttelsesreglerne.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen inden for kort tid.