CVE-2020-13937

描述

Apache Kylin 2.0.0、2.1.0、2.2.0、2.3.0、2.3.1、2.3.2、2.4.0、2.4.1、2.5.0、2.5.1、2.5.2、2.6.0、2.6.1、2.6.2、2.6.3、2.6.4、2.6.5、2.6.6、3.0.0-alpha、3.0.0-alpha2、3.0.0-beta、3.0.0、3.0.1、3.0.2、3.1.0、4.0.0-alpha 存在一个 RESTful API，该 API 在未经任何身份验证的情况下暴露了 Kylin 的配置信息，因此存在危险，因为一些机密信息条目将被披露给所有人。

如何利用

http://xx.com/kylin/api/admin/config

参考

https://nvd.nist.gov/vuln/detail/CVE-2020-13937