Any client who can access to Apache Kyuubi Server via Kyuubi frontend protocols can bypass server-side config kyuubi.session.local.dir.allow.list and use local files which are not listed in the config.
This issue affects Apache Kyuubi: from 1.6.0 through 1.10.2.
Users are recommended to upgrade to version 1.10.3 or upper, which fixes the issue.
Apache Kyuubi Server contains a path traversal vulnerability allowing authenticated clients to bypass the kyuubi.session.local.dir.allow.list configuration and access unauthorized local files. This affects versions 1.6.0 through 1.10.2 and requires immediate upgrade to version 1.10.3 or later.
ثغرة في Apache Kyuubi تسمح للعملاء المصرح لهم بتجاوز قيود التحكم في الوصول إلى الملفات المحلية المحددة في kyuubi.session.local.dir.allow.list. يمكن للمهاجمين الوصول إلى ملفات حساسة خارج القائمة المسموح بها. هذه الثغرة تؤثر على جميع الإصدارات من 1.6.0 إلى 1.10.2.
خادم Apache Kyuubi يحتوي على ثغرة تجاوز المسار تسمح للعملاء المصرح لهم بتجاوز تكوين kyuubi.session.local.dir.allow.list والوصول إلى ملفات محلية غير مصرح بها. يؤثر هذا على الإصدارات من 1.6.0 إلى 1.10.2 ويتطلب ترقية فورية إلى الإصدار 1.10.3 أو أحدث.
Immediately upgrade Apache Kyuubi to version 1.10.3 or later. Implement network segmentation to restrict access to Kyuubi frontend protocols. Review and audit access logs for unauthorized file access attempts. Apply principle of least privilege for service accounts running Kyuubi.
قم بترقية Apache Kyuubi فوراً إلى الإصدار 1.10.3 أو أحدث. طبق تقسيم الشبكة لتقييد الوصول إلى بروتوكولات واجهة Kyuubi. راجع وتدقيق سجلات الوصول لمحاولات الوصول غير المصرح بها للملفات. طبق مبدأ الامتيازات الأقل للحسابات الخدمية التي تشغل Kyuubi.