【更新】Hadoop Yarn RPC未授权访问漏洞通告

2021-11-23 11:34

报告编号：B6-2021-112301

报告来源：360CERT

报告作者：360CERT

更新日期：2021-11-23

0x01 漏洞简述

2021年11月23日，360CERT监测发现Hadoop Yarn RPC未授权访问漏洞的poc与漏洞细节均已在互联网公开，并且该漏洞存在在野利用，漏洞等级：高危，漏洞评分：7.8。本次通告更新了漏洞描述、安全建议与资产测绘数据。

Hadoop Yarn作为Hadoop核心组件之一，负责将资源分配至各个集群中运行各种应用程序，并调度不同集群节点上的任务执行。

对此，360CERT建议广大用户及时关注Hadoop Yarn的最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	高危
影响面	广泛
攻击者价值	高
利用难度	低
360CERT评分	7.8

0x03 漏洞详情

Hadoop Yarn未授权访问漏洞

CVE: 暂无

组件: Hadoop Yarn

漏洞类型: 身份验证绕过

影响: 任意命令执行

简述: Hadoop Yarn默认对外开放RPC服务且不需要身份认证，攻击者在未授权的情况下可以编写Yarn Client并且向Apache Hadoop Yarn RPC Serve提交Application，利用RPC服务执行任意命令，进而控制服务器。同时由于Hadoop Yarn RPC服务访问控制机制开启方式与REST API不一样，因此即使在 REST API有授权认证的情况下，RPC服务所在端口仍然可以未授权访问。

0x04 影响版本

组件	影响版本	安全版本
Hadoop Yarn	所有版本	暂无

0x05 资产测绘数据

0x06 修复建议

临时修补建议

1. Apache Hadoop官方建议用户开启Kerberos认证，阻止未经授权的访问。参考链接：https://hadoop.apache.org/docs/current/hadoop-project-dist/hadoop-common/SecureMode.html#Configuration

2. 设置 Hadoop RPC服务所在端口仅对可信地址开放。