漏洞描述
Apache Spark 是專為大規(guī)模數(shù)據(jù)處理而設(shè)計的快速通用的計算引擎。Apache Spark 是一種與 Hadoop 相似的開源集群計算環(huán)境，啟用了內(nèi)存分布數(shù)據(jù)集，除了能夠提供交互式查詢外，它還可以優(yōu)化迭代工作負載。Apache Spark 是在 Scala 語言中實現(xiàn)的，它將 Scala 用作其應(yīng)用程序框架。
由于Spark的認證機制存在缺陷，導(dǎo)致共享密鑰認證失效。攻擊者利用該漏洞，可在未授權(quán)的情況下，遠程發(fā)送精心構(gòu)造的過程調(diào)用指令，啟動Spark集群上的應(yīng)用程序資源，獲得目標服務(wù)器的權(quán)限，實現(xiàn)遠程代碼執(zhí)行。
漏洞編號
CVE-2020-9480
漏洞危害
攻擊者利用該漏洞，可在未授權(quán)的情況下遠程執(zhí)行代碼。
漏洞等級
高危
受影響版本
Apache Spark < =2.4.5
修復(fù)方案
目前，Apache官方已發(fā)布新版本修復(fù)此漏洞，禹宏信安建議用戶立即升級至最新版本：
https://github.com/apache/spark/releases
參考鏈接
- https://github.com/apache/spark/releases