CVE-2021-45458
Publiée le 2022-01-06 · Dernière modification le 2026-06-17
Les versions 2.6.6, 3.1.2 et 4.0.0 (ainsi que les versions antérieures) d'Apache Kylin sont concernées si vous utilisez la classe `PasswordPlaceholderConfigurer` pour chiffrer les mots de passe dans vos fichiers de configuration. Comme le chiffrement utilise une clé et un vecteur d'initialisation codés en dur, un attaquant distant peut déchiffrer ces mots de passe pour obtenir des identifiants sensibles. Cette attaque est simple à exécuter : elle ne nécessite aucune authentification, aucune interaction de l'utilisateur, ni de privilèges particuliers au-delà de l'accès réseau à la configuration.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Apache Kylin provides encryption classes PasswordPlaceholderConfigurer to help users encrypt their passwords. In the encryption algorithm used by this encryption class, the cipher is initialized with a hardcoded key and IV. If users use class PasswordPlaceholderConfigurer to encrypt their password and configure it into kylin's configuration file, there is a risk that the password may be decrypted. This issue affects Apache Kylin 2 version 2.6.6 and prior versions; Apache Kylin 3 version 3.1.2 and prior versions; Apache Kylin 4 version 4.0.0 and prior versions.