CVE-2017-3166
WysokieStreszczenie
W wersjach Apache Hadoop od 2.6.1 do 2.6.5, 2.7.0 do 2.7.3 oraz 3.0.0-alpha1, pliki w strefach szyfrowania z uprawnieniami do odczytu dla wszystkich mogą być lokalizowane przez mechanizm lokalizacji YARN, co prowadzi do ich przechowywania w lokalizacji dostępnej dla wszystkich.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do wrażliwych danych, co może prowadzić do wycieku informacji i naruszenia prywatności.
Rekomendacja
Zaleca się ograniczenie uprawnień do odczytu dla plików w strefach szyfrowania oraz aktualizację do najnowszej wersji Apache Hadoop, aby zminimalizować ryzyko.
Inne podatności w Apache Hadoop
Zobacz wszystkie- CVE-2025-27821Wysokie
Podatność typu out-of-bounds write w natywnym kliencie HDFS w Apache Hadoop. Dotyczy wersji od 3.2.0 do przed 3.4.2. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia problem.
- CVE-2017-7669Wysokie
W Apache Hadoop w wersjach 2.8.0, 3.0.0-alpha1 i 3.0.0-alpha2, LinuxContainerExecutor wykonuje polecenia docker jako root z niewystarczającą walidacją wejścia. Gdy funkcja docker jest włączona, uwierzytelnieni użytkownicy mogą uruchamiać polecenia jako root.
- CVE-2017-3162Wysokie
Klienci HDFS wchodzą w interakcję z serwletami na DataNode, aby przeglądać przestrzeń nazw HDFS. W wersjach Apache Hadoop przed 2.7.0 parametr zapytania dla NameNode nie jest walidowany.
- CVE-2016-6811Wysokie
W Apache Hadoop w wersjach 2.x przed 2.7.4, użytkownik, który może uzyskać uprawnienia użytkownika yarn, może potencjalnie uruchomić dowolne polecenia jako użytkownik root.
- CVE-2016-5393Wysokie
W Apache Hadoop w wersjach 2.6.x przed 2.6.5 oraz 2.7.x przed 2.7.3, zdalny użytkownik, który może uwierzytelnić się w HDFS NameNode, może potencjalnie uruchomić dowolne polecenia z tymi samymi uprawnieniami co usługa HDFS.
- CVE-2012-4449Krytyczne
Apache Hadoop w wersjach przed 0.23.4, 1.x przed 1.0.4 oraz 2.x przed 2.0.2 generuje hasła tokenów przy użyciu 20-bitowego sekretu, gdy funkcje zabezpieczeń Kerberos są włączone. To ułatwia atakującym uzyskanie kluczy sekretów za pomocą ataku brute-force.
Oryginalny opis (angielski, źródło NVD)
In Apache Hadoop versions 2.6.1 to 2.6.5, 2.7.0 to 2.7.3, and 3.0.0-alpha1, if a file in an encryption zone with access permissions that make it world readable is localized via YARN's localization mechanism, that file will be stored in a world-readable location and can be shared freely with any application that requests to localize that file.