CVE-2017-12612
WysokieStreszczenie
W Apache Spark w wersjach od 1.6.0 do 2.1.1 API uruchamiania wykonuje niebezpieczną deserializację danych otrzymywanych przez gniazdo. To sprawia, że aplikacje uruchamiane programowo za pomocą API uruchamiania mogą być podatne na wykonanie dowolnego kodu przez atakującego z dostępem do konta użytkownika na lokalnej maszynie.
Ocena ryzyka
Atakujący może wykonać kod jako użytkownik, który uruchomił aplikację Spark, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do wersji 2.2.0 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Apache Spark
Zobacz wszystkie- CVE-2022-33891WysokieAktywnie exploitowane
Apache Spark UI umożliwia włączenie list kontroli dostępu (ACL) poprzez opcję konfiguracyjną spark.acls.enable. Jeśli ACL są włączone, ścieżka kodu w HttpSecurityFilter może pozwolić na podszycie się pod dowolną nazwę użytkownika. Złośliwy użytkownik może następnie uzyskać dostęp do funkcji sprawdzania uprawnień, która zbuduje polecenie powłoki Unix na podstawie danych wejściowych i wykona je, co prowadzi do wykonania dowolnego polecenia powłoki jako użytkownik, jako który działa Spark. Dotyczy to Apache Spark w wersjach 3.0.3 i wcześniejszych, 3.1.1 do 3.1.2 oraz 3.2.0 do 3.2.1.
- CVE-2026-32773Średnie
W Spark History Server przed wersją 3.5.8 brakuje escapowania XSS, co pozwala złośliwemu zadaniu Spark na wygenerowanie dowolnego nieescapowanego kodu frontendowego, co może prowadzić do minimalnej eskalacji uprawnień w przeglądarce. Podatność oznaczono jako 'niską', ponieważ wymaga stosunkowo wysokich uprawnień (możliwość uruchomienia zadania Spark) oraz nakłonienia użytkownika z wyższymi uprawnieniami do zalogowania się i odwiedzenia strony historii Spark.
Oryginalny opis (angielski, źródło NVD)
In Apache Spark 1.6.0 until 2.1.1, the launcher API performs unsafe deserialization of data received by its socket. This makes applications launched programmatically using the launcher API potentially vulnerable to arbitrary code execution by an attacker with access to any user account on the local machine. It does not affect apps run by spark-submit or spark-shell. The attacker would be able to execute code as the user that ran the Spark application. Users are encouraged to update to version 2.2.0 or later.