【安全通告】Apache Spark 命令注入漏洞风险通告

新闻公告

< 返回

【安全通告】Apache Spark 命令注入漏洞风险通告

发布时间：2022-08-12 10:22:41

尊敬的用户，您好！

互联网安全运营中心监测到， Apache Spark 官方发布安全通告，公告称 Spark 存在命令注入漏洞，漏洞编号CVE-2022-33891。可导致执行任意命令等危害。

为避免您的业务受影响，棉花云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

漏洞详情

Apache Spark 是专为大规模数据处理而设计的快速通用的计算引擎，是UC Berkeley AMP lab (加州大学伯克利分校的AMP实验室)所开源的类Hadoop MapReduce的通用并行框架。

据描述，Apache Spark UI 中可通过配置选项 spark.acls.enable 启用 ACL 。这些身份验证过滤器会检查用户是否具有查看或修改应用程序的访问权限。如果启用ACL，则 HttpSecurityFilter 中的代码路径可允许攻击者冒充任意用户。该功能可根据他们的输入创建一个 Unix shell 命令并执行，最终导致执行任意命令。

风险等级

高风险

漏洞风险

攻击者利用该漏洞可导致远程执行任意命令

影响版本

Apache Spark =< 3.0.3

Apache Spark 3.1.1 - 3.1.2

Apache Spark 3.2.0 - 3.2.1

安全版本

Apache Spark >= 3.3.0

Apache Spark >= 3.1.3

Apache Spark >= 3.2.2

修复建议

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本

【备注】：建议您在升级前做好数据备份工作，避免出现意外

漏洞参考

https://spark.apache.org/security.html

棉花云

使用本网站产品请严格遵守当地法律法规。用户严禁任何触犯中华人民共和国或香港特别行政区以及所在地相关法律规定。
本站部分服务由以下合作商提供：西数新网 DNSPOD 商务中国新网互联阿里云腾讯云 PDR
棉花云®为我司注册商标，受商标法保护，未经授权许可，严禁个人或组织使用
棉花云网址：www.88sup.com 、mianhuayun.net、www.mianhuayun.net
以我所能，为你而+，助力轻松触及云端。