CVE-2026-62393: Adgangsfejl i Apache Kylin

Apache Kylin er et open source-værktøj til analyse af store datamængder, ofte brugt som OLAP-motor (et system, der forbereder data til hurtige forespørgsler) sammen med Hadoop eller Spark. CVE-2026-62393 er en fejl i autorisationskontrollen, hvor systemet ikke tjekker korrekt, om en bruger har ret til at se oplysninger om et job, en kørende dataopgave, i et andet projekt end sit eget. Fejlen kategoriseres som CWE-280, forkert håndtering af utilstrækkelige rettigheder. Det betyder, at adgangsstyringen mellem projekter i Kylin ikke fungerer, som den skal, for netop denne funktion.

Sårbarheden findes i Apache Kylin fra version 4.0.0 til og med 5.0.3. Alle organisationer, der kører en af disse versioner med flere projekter og flere brugere, er berørt. Det gælder typisk virksomheder og kommuner med egen data- og analyseplatform, hvor forskellige afdelinger eller teams har adgang til samme Kylin-installation, men skal være afskåret fra hinandens projekter.

En bruger, der allerede har et gyldigt login til Kylin, kan hente jobinformation fra projekter, vedkommende ikke har rettigheder til. Det kan afsløre, hvilke dataopgaver et andet team eller en anden afdeling kører, og give indblik i forretningsprocesser eller dataflow, som burde være afskærmet. Der er ikke risiko for, at data ændres eller slettes, og systemets tilgængelighed påvirkes ikke.

CVSS-score er 4,3 ud af 10, moderat. Angrebet kræver et login med lave rettigheder, men ingen handling fra en anden bruger, og det kan udføres over netværket uden særlig teknisk kompleksitet. Konsekvensen er begrænset til fortrolighed på lavt niveau, det giver adgang til jobinformation, ikke til data eller systemkontrol. Der er ikke rapporteret om aktiv udnyttelse af sårbarheden.

Opdatering fjerner problemet helt, og det bør prioriteres i den kommende driftsplan.

1. Opgradér Apache Kylin til version 5.0.4 eller nyere, hvor fejlen er rettet.
2. Gennemgå, hvilke brugere har adgang til Kylin, og fjern konti, der ikke længere har behov for adgang.
3. Kontrollér projektopdelingen i Kylin, og bekræft at rettigheder til hvert projekt matcher den faktiske organisation.
4. Gennemgå logs for uventede forespørgsler til jobinformation fra brugere uden for det pågældende projekt.
5. Kontakt jeres it-leverandør eller en sikkerhedsrådgiver, hvis I ikke selv har kapacitet til at teste og udrulle opgraderingen.