Apache Kyuubi未经授权的目录访问CVE-2025-66518

Apache Kyuubi 是一个基于 Spark 的多租户、高性能 SQL 查询引擎/网关，通俗理解是给 Spark SQL 加了一层 “统一入口” 和 “增强外壳”。

一、基本情况

Apache Kyuubi 是Spark SQL 企业级增强网关，核心解决多租户、高并发、高可用，属 Apache 顶级项目（TLP），完全开源且活跃维护。

Apache Kyuubi 解决了 Spark Thrift Server（Spark 原生的 SQL 服务）在多租户、高并发、易用性的诸多痛点，而且完全兼容 Hive 协议。

Apache Kyuubi 为大数据分析场景提供企业级 SQL 服务能力，让用户像用 MySQL/Hive 一样简单、高效访问 Spark 集群执行 SQL 查询。

栋科技漏洞库关注到 Apache Kyuubi 受影响版本中存在的未经授权的目录访问的安全漏洞，追踪为CVE-2025-66518，CVSS 4.0评分8.8。

二、漏洞分析

CVE-2025-66518漏洞是存在于 Apache Kyuubi受影响版本中的安全漏洞，漏洞源于由于缺少路径规范化而导致未经授权的目录访问所致。

该漏洞使得任何能够通过Kyuubi前端协议访问Apache Kyuubi服务器的客户端，

从而可以绕过服务器端配置中的kyuubi.session.local.dir.allow.list设置并使用未在配置中列出的本地文件。

三、影响范围

Apache Kyuubi的 >= 1.6.0，<= 1.10.2

四、修复建议

Apache Kyuubi的 >= 1.10.3

五、参考链接

管理员已设置登录后刷新可查看