Apache Spark 命令注入漏洞預警

尊敬的主題雲用户：

您好！ 近日，Apache Spark官方發佈安全公告，披露在Apache Spark特定版本中存在一處命令注入漏洞（CVE-2022-33891）。Apache Spark UI具有ACL機制，當開啓ACL後，攻擊者可利用漏洞冒充任意用户進行任意命令注入並執行。

【漏洞評級】

高風險

【漏洞描述】

CVE-2022-33891

Apache Spark 是專為大規模數據處理而設計的快速通用的計算引擎，是UC Berkeley AMP lab （加州大學伯克利分校的AMP實驗室）所開源的類Hadoop MapReduce的通用並行框架。

Apache Spark UI 中可通過配置選項 spark.acls.enable 啓用 ACL 。這些身份驗證過濾器會檢查用户是否具有查看或修改應用程序的訪問權限。如果啓用ACL，則 HttpSecurityFilter 中的代碼路徑可允許攻擊者冒充任意用户。該功能可根據他們的輸入創建一個 Unix shell 命令並執行，最終導致執行任意命令。

【影響範圍】

Apache Spark =< 3.0.3

Apache Spark 3.1.1 - 3.1.2

Apache Spark 3.2.0 - 3.2.1

【修復方案】

目前，官方已發佈新版本修復了該漏洞，請受影響的用户升級到安全版本：

https://github.com/apache/spark/tags

【參考鏈接】

https://spark.apache.org/security.html