【漏洞通告】Apache Spark存在命令注入漏洞(CVE-2022-33891)

admin 2022年7月19日20:15:33评论89 views字数 910阅读3分2秒阅读模式


【漏洞通告】Apache Spark存在命令注入漏洞(CVE-2022-33891)


【漏洞通告】Apache Spark存在命令注入漏洞(CVE-2022-33891)

    

【漏洞通告】Apache Spark存在命令注入漏洞(CVE-2022-33891)

  

近日,泰若星环安全团队监测到Apache Spark命令注入漏洞(CVE-2022-33891)的漏洞PoC已在互联网上公开,目前泰若星环安全团队已经复现该漏洞,请受影响用户尽快升级到安全版本。


漏洞评级

中危(CVSS评分:5.3)

漏洞描述 

Apache Spark 是专为大规模数据处理而设计的快速通用的计算引擎。

Apache Spark UI提供了通过配置选项spark.acls.enable开启ACL,使用身份验证过滤器,这将检查用户是否具有查看或修改应用程序的访问权限,如果启用了ACL,则HttpSecurityFilter中的代码路径可以允许用户通过任意用户名来执行模拟,这将导致恶意用户可能访问该权限检查功能来执行shell命令。

影响版本

    • Apache Spark <= 3.0.3
    • 3.1.1 <= Apache Spark <= 3.1.2
    • 3.2.0 <= Apache Spark <= 3.2.1

安全版本

    • 3.1.3 <= Apache Spark

    • 3.2.2 <= Apache Spark

    • 3.3.0 <= Apache Spark

修复建议

目前,Apache Spark官方已发布漏洞修复补丁,建议用户尽快下载更新至受支持的 Apache Spark 维护版本 3.1.3、3.2.2 或3.3.0或更高版本。
下载地址:https://spark.apache.org/news/

参考链接

    • https://lists.apache.org/thread/p847l3kopoo5bjtmxrcwk21xp6tjxqlc



关于我们


“TERRA星环”安全团队正式成立于2020年,是贵州泰若数字科技有限公司旗下以互联网攻防技术研究为目标的安全团队。团队核心成员长期从事渗透测试、代码审计、应急响应等安服工作,多次参与国家、省级攻防演练行动,具备丰富的安服及攻防对抗经验。

团队专注于漏洞挖掘、漏洞研究、红蓝对抗、CTF夺旗、溯源取证、威胁情报、代码审计、逆向分析等研究。对外提供安全评估、安全培训、安全咨询、安全集成、应急响应等服务。


原文始发于微信公众号(TERRA星环安全团队):【漏洞通告】Apache Spark存在命令注入漏洞(CVE-2022-33891)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年7月19日20:15:33
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】Apache Spark存在命令注入漏洞(CVE-2022-33891)http://cn-sec.com/archives/1186905.html

发表评论

匿名网友 填写信息