CVE-2012-4449
KrytyczneStreszczenie
Apache Hadoop w wersjach przed 0.23.4, 1.x przed 1.0.4 oraz 2.x przed 2.0.2 generuje hasła tokenów przy użyciu 20-bitowego sekretu, gdy funkcje zabezpieczeń Kerberos są włączone. To ułatwia atakującym uzyskanie kluczy sekretów za pomocą ataku brute-force.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które umożliwiają złamanie kluczy sekretów, co może prowadzić do nieautoryzowanego dostępu do systemów zabezpieczonych przez Kerberos.
Rekomendacja
Zaleca się aktualizację Apache Hadoop do wersji 0.23.4, 1.0.4 lub 2.0.2 lub nowszej, aby zminimalizować ryzyko związane z tą podatnością.
Inne podatności w Apache Hadoop
Zobacz wszystkie- CVE-2025-27821Wysokie
Podatność typu out-of-bounds write w natywnym kliencie HDFS w Apache Hadoop. Dotyczy wersji od 3.2.0 do przed 3.4.2. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia problem.
- CVE-2017-3166Wysokie
W wersjach Apache Hadoop od 2.6.1 do 2.6.5, 2.7.0 do 2.7.3 oraz 3.0.0-alpha1, pliki w strefach szyfrowania z uprawnieniami do odczytu dla wszystkich mogą być lokalizowane przez mechanizm lokalizacji YARN, co prowadzi do ich przechowywania w lokalizacji dostępnej dla wszystkich.
- CVE-2017-7669Wysokie
W Apache Hadoop w wersjach 2.8.0, 3.0.0-alpha1 i 3.0.0-alpha2, LinuxContainerExecutor wykonuje polecenia docker jako root z niewystarczającą walidacją wejścia. Gdy funkcja docker jest włączona, uwierzytelnieni użytkownicy mogą uruchamiać polecenia jako root.
- CVE-2017-3162Wysokie
Klienci HDFS wchodzą w interakcję z serwletami na DataNode, aby przeglądać przestrzeń nazw HDFS. W wersjach Apache Hadoop przed 2.7.0 parametr zapytania dla NameNode nie jest walidowany.
- CVE-2016-6811Wysokie
W Apache Hadoop w wersjach 2.x przed 2.7.4, użytkownik, który może uzyskać uprawnienia użytkownika yarn, może potencjalnie uruchomić dowolne polecenia jako użytkownik root.
- CVE-2016-5393Wysokie
W Apache Hadoop w wersjach 2.6.x przed 2.6.5 oraz 2.7.x przed 2.7.3, zdalny użytkownik, który może uwierzytelnić się w HDFS NameNode, może potencjalnie uruchomić dowolne polecenia z tymi samymi uprawnieniami co usługa HDFS.
Oryginalny opis (angielski, źródło NVD)
Apache Hadoop before 0.23.4, 1.x before 1.0.4, and 2.x before 2.0.2 generate token passwords using a 20-bit secret when Kerberos security features are enabled, which makes it easier for context-dependent attackers to crack secret keys via a brute-force attack.