近日，嘉诚安全监测到CNNVD官方发布了Apache Kylin 命令注入漏洞的安全风险通告，漏洞编号为：CNNVD-202210-792（CVE-2022-24697）。

Apache Kylin是美国阿帕奇（Apache）基金会的一款开源的分布式分析型数据仓库。该产品主要提供Hadoop/Spark之上的SQL查询接口及多维分析（OLAP）等功能。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快下载补丁进行更新，避免引发漏洞相关的网络安全事件。

该漏洞源于其cube designer功能当配置覆盖菜单时会覆盖系统参数导致攻击者可以将任何操作系统命令注入到命令行参数中导致远程命令执行。

通用修复建议：

根据影响版本中的信息，厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://lists.apache.org/thread/07mnn9c7o314wrhrwjr10w9j5s82voj4