CVE-2025-27821
WysokieStreszczenie
Podatność typu out-of-bounds write w natywnym kliencie HDFS w Apache Hadoop. Dotyczy wersji od 3.2.0 do przed 3.4.2. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia problem.
Ocena ryzyka
Atakujący może wykorzystać podatność do zapisu poza granicami pamięci, co może prowadzić do awarii lub potencjalnego wykonania kodu.
Rekomendacja
Zaktualizuj Apache Hadoop do wersji 3.4.2 lub nowszej.
Inne podatności w Apache Hadoop
Zobacz wszystkie- CVE-2017-3166Wysokie
W wersjach Apache Hadoop od 2.6.1 do 2.6.5, 2.7.0 do 2.7.3 oraz 3.0.0-alpha1, pliki w strefach szyfrowania z uprawnieniami do odczytu dla wszystkich mogą być lokalizowane przez mechanizm lokalizacji YARN, co prowadzi do ich przechowywania w lokalizacji dostępnej dla wszystkich.
- CVE-2017-7669Wysokie
W Apache Hadoop w wersjach 2.8.0, 3.0.0-alpha1 i 3.0.0-alpha2, LinuxContainerExecutor wykonuje polecenia docker jako root z niewystarczającą walidacją wejścia. Gdy funkcja docker jest włączona, uwierzytelnieni użytkownicy mogą uruchamiać polecenia jako root.
- CVE-2017-3162Wysokie
Klienci HDFS wchodzą w interakcję z serwletami na DataNode, aby przeglądać przestrzeń nazw HDFS. W wersjach Apache Hadoop przed 2.7.0 parametr zapytania dla NameNode nie jest walidowany.
- CVE-2016-6811Wysokie
W Apache Hadoop w wersjach 2.x przed 2.7.4, użytkownik, który może uzyskać uprawnienia użytkownika yarn, może potencjalnie uruchomić dowolne polecenia jako użytkownik root.
- CVE-2016-5393Wysokie
W Apache Hadoop w wersjach 2.6.x przed 2.6.5 oraz 2.7.x przed 2.7.3, zdalny użytkownik, który może uwierzytelnić się w HDFS NameNode, może potencjalnie uruchomić dowolne polecenia z tymi samymi uprawnieniami co usługa HDFS.
- CVE-2012-4449Krytyczne
Apache Hadoop w wersjach przed 0.23.4, 1.x przed 1.0.4 oraz 2.x przed 2.0.2 generuje hasła tokenów przy użyciu 20-bitowego sekretu, gdy funkcje zabezpieczeń Kerberos są włączone. To ułatwia atakującym uzyskanie kluczy sekretów za pomocą ataku brute-force.
Oryginalny opis (angielski, źródło NVD)
Out-of-bounds Write vulnerability in Apache Hadoop HDFS native client. This issue affects Apache Hadoop: from 3.2.0 before 3.4.2. Users are recommended to upgrade to version 3.4.2, which fixes the issue.