CVE-2026-62392: Kritisk kommandoinjektion i Apache Kylin

CVE-2026-62392 er en sårbarhed i Apache Kylin, et analyseværktøj til store datamængder, der ofte bruges til at lave OLAP-rapportering (Online Analytical Processing, hurtige forespørgsler på store datasæt) ovenpå Hadoop eller Spark. Fejlen er en såkaldt OS-kommandoinjektion: en bagvedliggende API sender jobkonfigurationsparametre direkte til styresystemets kommandolinje, uden at rense dem for skadeligt indhold først. En angriber kan derfor indsætte sine egne systemkommandoer i det, der skulle have været almindelige jobindstillinger, og få serveren til at udføre dem.

Sårbarheden rammer Apache Kylin fra version 4.0.0 til og med 5.0.3. Det gælder virksomheder og offentlige institutioner, der bruger Kylin som analyseplatform til big data, typisk i forbindelse med Hadoop- eller Spark-installationer. I Danmark er det primært større virksomheder med egne dataplatforme eller offentlige it-afdelinger, der driver denne type infrastruktur, ikke almindelige webhoteller eller standard-CMS-installationer.

En angriber, der kan sende forespørgsler til Kylins backend-API, kan få serveren til at udføre vilkårlige systemkommandoer. Det giver i praksis fuld kontrol over den server, Kylin kører på: læsning og udtrækning af data, installation af skadelig kode, eller brug af serveren som springbræt videre ind i netværket. Da Kylin ofte har adgang til store mængder forretningsdata og kører med relativt høje rettigheder for at kunne styre analysejob, er konsekvensen typisk tab af data, driftsstop og mulig spredning til andre systemer.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres direkte over netværket mod den sårbare API. Kompleksiteten er lav, hvilket betyder, at det ikke kræver særlig teknisk indsigt at udnytte. Der er ikke oplyst om aktiv udnyttelse i praksis på offentliggørelsesdatoen, men den lave angrebskompleksitet og fuldstændige mangel på krav til rettigheder gør sårbarheden attraktiv for automatiserede angreb.

Følg disse skridt for at lukke hullet og begrænse skaden, hvis det allerede er udnyttet.

1. Opdatér Apache Kylin til version 5.0.4, som retter fejlen. Dette er den eneste reelle løsning.
2. Kan opdateringen ikke gennemføres med det samme, så afskær adgangen til Kylins backend-API fra internettet og begræns den til betroede interne IP-adresser via firewall.
3. Gennemgå logs for Kylin-serveren for mistænkelige jobkonfigurationer eller uventede systemkommandoer i den periode, sårbarheden har været kendt.
4. Kontrollér, om serveren har adgang til andre kritiske systemer, og isolér den netværksmæssigt, hvis det er muligt, indtil opdateringen er gennemført.
5. Er der tegn på, at sårbarheden allerede er udnyttet, eller mangler I kompetencer til at gennemføre opdateringen sikkert, bør I hente ekstern hjælp til undersøgelse og oprydning.