CVE-2026-32773
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Spark History Server przed wersją 3.5.8 brakuje escapowania XSS, co pozwala złośliwemu zadaniu Spark na wygenerowanie dowolnego nieescapowanego kodu frontendowego, co może prowadzić do minimalnej eskalacji uprawnień w przeglądarce. Podatność oznaczono jako 'niską', ponieważ wymaga stosunkowo wysokich uprawnień (możliwość uruchomienia zadania Spark) oraz nakłonienia użytkownika z wyższymi uprawnieniami do zalogowania się i odwiedzenia strony historii Spark.
Ocena ryzyka
Ryzyko obejmuje potencjalną eskalację uprawnień w przeglądarce użytkownika, co może prowadzić do nieautoryzowanych działań w kontekście sesji użytkownika.
Rekomendacja
Zaleca się aktualizację Spark History Server do wersji 3.5.8 lub nowszej, aby wyeliminować tę podatność.
Inne podatności w Apache Spark
Zobacz wszystkie- CVE-2017-12612Wysokie
W Apache Spark w wersjach od 1.6.0 do 2.1.1 API uruchamiania wykonuje niebezpieczną deserializację danych otrzymywanych przez gniazdo. To sprawia, że aplikacje uruchamiane programowo za pomocą API uruchamiania mogą być podatne na wykonanie dowolnego kodu przez atakującego z dostępem do konta użytkownika na lokalnej maszynie.
- CVE-2022-33891WysokieAktywnie exploitowane
Apache Spark UI umożliwia włączenie list kontroli dostępu (ACL) poprzez opcję konfiguracyjną spark.acls.enable. Jeśli ACL są włączone, ścieżka kodu w HttpSecurityFilter może pozwolić na podszycie się pod dowolną nazwę użytkownika. Złośliwy użytkownik może następnie uzyskać dostęp do funkcji sprawdzania uprawnień, która zbuduje polecenie powłoki Unix na podstawie danych wejściowych i wykona je, co prowadzi do wykonania dowolnego polecenia powłoki jako użytkownik, jako który działa Spark. Dotyczy to Apache Spark w wersjach 3.0.3 i wcześniejszych, 3.1.1 do 3.1.2 oraz 3.2.0 do 3.2.1.
Oryginalny opis (angielski, źródło NVD)
There is a lack of XSS escaping in the Spark History Server prior to 3.5.8 which allows a malicious Spark job to generate arbitrary unescaped frontend code which could lead to a minimal privilege escalation in browser. Users are encouraged to upgrade to Spark 3.5.8 or later. This CVE is marked as "low" since the path to exploit requires both relatively high permissions (ability to launch a Spark job) and requires tricking a user with higher permissions to log in and visit the Spark history web page. Users are encouraged to upgrade their Spark history servers to Spark 3.5.8 or later.