Aktywnie wykorzystywana w atakach
Apache Spark Command Injection Vulnerability
Apache - Spark · Figuruje w katalogu CISA KEV od 2023-03-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-33891
WysokieCVSS 8.8KEVStreszczenie
Apache Spark UI umożliwia włączenie list kontroli dostępu (ACL) poprzez opcję konfiguracyjną spark.acls.enable. Jeśli ACL są włączone, ścieżka kodu w HttpSecurityFilter może pozwolić na podszycie się pod dowolną nazwę użytkownika. Złośliwy użytkownik może następnie uzyskać dostęp do funkcji sprawdzania uprawnień, która zbuduje polecenie powłoki Unix na podstawie danych wejściowych i wykona je, co prowadzi do wykonania dowolnego polecenia powłoki jako użytkownik, jako który działa Spark. Dotyczy to Apache Spark w wersjach 3.0.3 i wcześniejszych, 3.1.1 do 3.1.2 oraz 3.2.0 do 3.2.1.
Ocena ryzyka
Podatność pozwala na zdalne wykonanie kodu z uprawnieniami użytkownika Spark, co może prowadzić do pełnego przejęcia systemu. Organizacje używające Apache Spark z włączonymi ACL są szczególnie narażone.
Rekomendacja
Zaktualizuj Apache Spark do wersji nowszej niż 3.2.1 (lub odpowiedniej poprawionej wersji). Jeśli to możliwe, wyłącz ACL lub ogranicz dostęp do UI.
Inne podatności w Apache Spark
Zobacz wszystkie- CVE-2017-12612Wysokie
W Apache Spark w wersjach od 1.6.0 do 2.1.1 API uruchamiania wykonuje niebezpieczną deserializację danych otrzymywanych przez gniazdo. To sprawia, że aplikacje uruchamiane programowo za pomocą API uruchamiania mogą być podatne na wykonanie dowolnego kodu przez atakującego z dostępem do konta użytkownika na lokalnej maszynie.
- CVE-2026-32773Średnie
W Spark History Server przed wersją 3.5.8 brakuje escapowania XSS, co pozwala złośliwemu zadaniu Spark na wygenerowanie dowolnego nieescapowanego kodu frontendowego, co może prowadzić do minimalnej eskalacji uprawnień w przeglądarce. Podatność oznaczono jako 'niską', ponieważ wymaga stosunkowo wysokich uprawnień (możliwość uruchomienia zadania Spark) oraz nakłonienia użytkownika z wyższymi uprawnieniami do zalogowania się i odwiedzenia strony historii Spark.
Oryginalny opis (angielski, źródło NVD)
The Apache Spark UI offers the possibility to enable ACLs via the configuration option spark.acls.enable. With an authentication filter, this checks whether a user has access permissions to view or modify the application. If ACLs are enabled, a code path in HttpSecurityFilter can allow someone to perform impersonation by providing an arbitrary user name. A malicious user might then be able to reach a permission check function that will ultimately build a Unix shell command based on their input, and execute it. This will result in arbitrary shell command execution as the user Spark is currently running as. This affects Apache Spark versions 3.0.3 and earlier, versions 3.1.1 to 3.1.2, and versions 3.2.0 to 3.2.1.