近日，泰若星环安全团队监测到Apache Spark命令注入漏洞(CVE-2022-33891)的漏洞PoC已在互联网上公开，目前泰若星环安全团队已经复现该漏洞，请受影响用户尽快升级到安全版本。
漏洞评级
中危（CVSS评分：5.3）
漏洞描述
Apache Spark 是专为大规模数据处理而设计的快速通用的计算引擎。
Apache Spark UI提供了通过配置选项spark.acls.enable开启ACL，使用身份验证过滤器，这将检查用户是否具有查看或修改应用程序的访问权限，如果启用了ACL，则HttpSecurityFilter中的代码路径可以允许用户通过任意用户名来执行模拟，这将导致恶意用户可能访问该权限检查功能来执行shell命令。
影响版本
-
Apache Spark <= 3.0.3 -
3.1.1 <= Apache Spark <= 3.1.2 -
3.2.0 <= Apache Spark <= 3.2.1
安全版本
-
3.1.3 <= Apache Spark
-
3.2.2 <= Apache Spark
-
3.3.0 <= Apache Spark
修复建议
参考链接
-
https://lists.apache.org/thread/p847l3kopoo5bjtmxrcwk21xp6tjxqlc
关于我们
“TERRA星环”安全团队正式成立于2020年，是贵州泰若数字科技有限公司旗下以互联网攻防技术研究为目标的安全团队。团队核心成员长期从事渗透测试、代码审计、应急响应等安服工作，多次参与国家、省级攻防演练行动，具备丰富的安服及攻防对抗经验。
团队专注于漏洞挖掘、漏洞研究、红蓝对抗、CTF夺旗、溯源取证、威胁情报、代码审计、逆向分析等研究。对外提供安全评估、安全培训、安全咨询、安全集成、应急响应等服务。
原文始发于微信公众号（TERRA星环安全团队）：【漏洞通告】Apache Spark存在命令注入漏洞(CVE-2022-33891)
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论