JVNDB-2026-002065

Apache Software FoundationのLinkisにおけるログファイルからの情報漏えいに関する脆弱性

脆弱性について説明します。org.apache.linkis.metadata.util.HiveUtils.decode() がBase64デコードに失敗した場合、入力パラメータの文字列全体を logger.error(str + "decode failed", e) を通じてログに記録します。もし入力パラメータにHive Metastoreのキーなどの機密情報が含まれていると、デコード失敗時に平文のパスワードがログファイルに残り、情報漏洩が発生します。影響範囲は hive-site.xml の機密フィールド（例：javax.jdo.option.ConnectionPassword）やBase64でエンコードされたその他のフィールドを含むコンポーネントに及び、対象バージョンはApache Linkis 1.0.0から1.7.0までです。トリガー条件は、設定項目の値が無効なBase64文字列であり、hive-site.xml管理者以外のユーザーがログファイルを読み取れる場合に成立します。深刻度は低く、Base64デコード失敗の確率は低いです。また、エラーレベルのログが公開された場合にのみ情報漏洩が発生します。対応策として、Apache Linkis 1.8.0以降ではログ出力がマスクされた内容に置き換えられました（logger.error("URL decode failed: {}", e.getMessage()); // 文字列は出力されません）。ユーザーには問題を修正したバージョン1.8.0へのアップグレードを推奨します。

Apache Software Foundation

• Linkis 1.0.0 以上 1.8.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Openwall

• Openwall mailing list archives : oss-security - CVE-2025-59355: Apache Linkis: Password Exposure

1. ログファイルからの情報漏えい(CWE-532) [その他]

1. CVE-2025-59355

1. National Vulnerability Database (NVD) : CVE-2025-59355
2. 関連文書 : [PR] Add urlencode check for jdbc url in SecurityUtils.java and fix password leak in HiveUtils.java [linkis]-Apache Mail Archives
3. 関連文書 : CVE-2025-59355: Apache Linkis: Password Exposure-Apache Mail Archives

• [2026年01月29日]
    掲載