CVE-2016-5393
WysokieStreszczenie
W Apache Hadoop w wersjach 2.6.x przed 2.6.5 oraz 2.7.x przed 2.7.3, zdalny użytkownik, który może uwierzytelnić się w HDFS NameNode, może potencjalnie uruchomić dowolne polecenia z tymi samymi uprawnieniami co usługa HDFS.
Ocena ryzyka
Możliwość uruchomienia dowolnych poleceń przez zdalnego użytkownika stwarza poważne ryzyko dla bezpieczeństwa systemu, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację Apache Hadoop do wersji 2.6.5 lub 2.7.3, aby usunąć tę podatność.
Inne podatności w Apache Hadoop
Zobacz wszystkie- CVE-2025-27821Wysokie
Podatność typu out-of-bounds write w natywnym kliencie HDFS w Apache Hadoop. Dotyczy wersji od 3.2.0 do przed 3.4.2. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia problem.
- CVE-2017-3166Wysokie
W wersjach Apache Hadoop od 2.6.1 do 2.6.5, 2.7.0 do 2.7.3 oraz 3.0.0-alpha1, pliki w strefach szyfrowania z uprawnieniami do odczytu dla wszystkich mogą być lokalizowane przez mechanizm lokalizacji YARN, co prowadzi do ich przechowywania w lokalizacji dostępnej dla wszystkich.
- CVE-2017-7669Wysokie
W Apache Hadoop w wersjach 2.8.0, 3.0.0-alpha1 i 3.0.0-alpha2, LinuxContainerExecutor wykonuje polecenia docker jako root z niewystarczającą walidacją wejścia. Gdy funkcja docker jest włączona, uwierzytelnieni użytkownicy mogą uruchamiać polecenia jako root.
- CVE-2017-3162Wysokie
Klienci HDFS wchodzą w interakcję z serwletami na DataNode, aby przeglądać przestrzeń nazw HDFS. W wersjach Apache Hadoop przed 2.7.0 parametr zapytania dla NameNode nie jest walidowany.
- CVE-2016-6811Wysokie
W Apache Hadoop w wersjach 2.x przed 2.7.4, użytkownik, który może uzyskać uprawnienia użytkownika yarn, może potencjalnie uruchomić dowolne polecenia jako użytkownik root.
- CVE-2012-4449Krytyczne
Apache Hadoop w wersjach przed 0.23.4, 1.x przed 1.0.4 oraz 2.x przed 2.0.2 generuje hasła tokenów przy użyciu 20-bitowego sekretu, gdy funkcje zabezpieczeń Kerberos są włączone. To ułatwia atakującym uzyskanie kluczy sekretów za pomocą ataku brute-force.
Oryginalny opis (angielski, źródło NVD)
In Apache Hadoop 2.6.x before 2.6.5 and 2.7.x before 2.7.3, a remote user who can authenticate with the HDFS NameNode can possibly run arbitrary commands with the same privileges as the HDFS service.