CVE-2025-55039
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność w Apache Spark przed wersjami 3.4.4, 3.5.2 i 4.0.0 dotyczy domyślnego, niebezpiecznego szyfru sieciowego dla komunikacji RPC między węzłami. Gdy włączone jest szyfrowanie sieci (spark.network.crypto.enabled=true), ale nie skonfigurowano jawnie algorytmu, Spark domyślnie używa AES w trybie CTR, który nie zapewnia uwierzytelniania. Pozwala to atakującemu typu man-in-the-middle na modyfikację zaszyfrowanego ruchu RPC bez wykrycia.
Ocena ryzyka
Atakujący może podmieniać bity w zaszyfrowanych danych, potencjalnie naruszając komunikaty heartbeat lub dane aplikacji, co wpływa na integralność przepływów pracy Spark. Może to prowadzić do nieautoryzowanych zmian w przetwarzaniu danych.
Rekomendacja
Skonfiguruj spark.network.crypto.cipher na AES/GCM/NoPadding, aby włączyć szyfrowanie z uwierzytelnianiem, lub włącz SSL (spark.ssl.enabled=true) dla silniejszego zabezpieczenia transportu.
Inne podatności w Apache Spark
Zobacz wszystkie- CVE-2017-12612Wysokie
W Apache Spark w wersjach od 1.6.0 do 2.1.1 API uruchamiania wykonuje niebezpieczną deserializację danych otrzymywanych przez gniazdo. To sprawia, że aplikacje uruchamiane programowo za pomocą API uruchamiania mogą być podatne na wykonanie dowolnego kodu przez atakującego z dostępem do konta użytkownika na lokalnej maszynie.
- CVE-2022-33891WysokieAktywnie exploitowane
Apache Spark UI umożliwia włączenie list kontroli dostępu (ACL) poprzez opcję konfiguracyjną spark.acls.enable. Jeśli ACL są włączone, ścieżka kodu w HttpSecurityFilter może pozwolić na podszycie się pod dowolną nazwę użytkownika. Złośliwy użytkownik może następnie uzyskać dostęp do funkcji sprawdzania uprawnień, która zbuduje polecenie powłoki Unix na podstawie danych wejściowych i wykona je, co prowadzi do wykonania dowolnego polecenia powłoki jako użytkownik, jako który działa Spark. Dotyczy to Apache Spark w wersjach 3.0.3 i wcześniejszych, 3.1.1 do 3.1.2 oraz 3.2.0 do 3.2.1.
- CVE-2026-32773Średnie
W Spark History Server przed wersją 3.5.8 brakuje escapowania XSS, co pozwala złośliwemu zadaniu Spark na wygenerowanie dowolnego nieescapowanego kodu frontendowego, co może prowadzić do minimalnej eskalacji uprawnień w przeglądarce. Podatność oznaczono jako 'niską', ponieważ wymaga stosunkowo wysokich uprawnień (możliwość uruchomienia zadania Spark) oraz nakłonienia użytkownika z wyższymi uprawnieniami do zalogowania się i odwiedzenia strony historii Spark.
Oryginalny opis (angielski, źródło NVD)
This issue affects Apache Spark versions before 3.4.4, 3.5.2 and 4.0.0. Apache Spark versions before 4.0.0, 3.5.2 and 3.4.4 use an insecure default network encryption cipher for RPC communication between nodes. When spark.network.crypto.enabled is set to true (it is set to false by default), but spark.network.crypto.cipher is not explicitly configured, Spark defaults to AES in CTR mode (AES/CTR/NoPadding), which provides encryption without authentication. This vulnerability allows a man-in-the-middle attacker to modify encrypted RPC traffic undetected by flipping bits in ciphertext, potentially compromising heartbeat messages or application data and affecting the integrity of Spark workflows. To mitigate this issue, users should either configure spark.network.crypto.cipher to AES/GCM/NoPadding to enable authenticated encryption or enable SSL encryption by setting spark.ssl.enabled to true, which provides stronger transport security.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS