CVE-2022-33891:Apache Spark 命令注入漏洞通告
2022-07-19 15:49

报告编号:B6-2022-071901

报告来源:360CERT

报告作者:360CERT

更新日期:2022-07-19

0x01   漏洞简述

2022年07月19日,360CERT监测发现Apache官方发布了Apache Spark的风险通告,漏洞编号为CVE-2022-33891,漏洞等级:中危,漏洞评分:6.5

Apache Spark 是用于大规模数据处理的统一分析引擎。它提供了 Scala、Java、Python 和 R 中的高级 API,以及支持用于数据分析的通用计算图的优化引擎。它还支持一组丰富的高级工具,包括用于 SQL 和 DataFrames 的 Spark SQL、用于 Pandas 工作负载的 Spark 上的 Pandas API、用于机器学习的 MLlib、用于图形处理的 GraphX 和用于流处理的结构化流。

对此,360CERT建议广大用户及时将Apache Spark升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

0x02   风险等级

360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级中危
影响面广泛
攻击者价值
利用难度
360CERT评分6.5

0x03   漏洞详情

CVE-2022-33891: Apache Spark 命令注入漏洞

CVE: CVE-2022-33891

组件: Spark

漏洞类型: 命令注入

影响: 服务器接管

简述: Apache Spark UI 提供了通过配置选项 spark.acls.enable 启用 ACL 的可能性。如果启用了 ACL,则 HttpSecurityFilter 中的代码路径可以允许攻击者通过提供任意用户名来执行模拟。因此,攻击者能够访问权限检查功能,该功能最终将根据攻击者的输入构建一个 Unix shell 命令并执行。成功利用此漏洞可导致任意 shell 命令执行。

0x04   影响版本

组件影响版本安全版本
Apache Spark<= 3.0.3>= 3.3.0
Apache Spark3.1.1 ~ 3.1.2>= 3.1.3
Apache Spark3.2.0 ~ 3.2.1>= 3.2.2

0x05   修复建议

通用修补建议

根据影响版本中的信息,排查并升级到安全版本

下载地址:https://spark.apache.org/downloads.html

0x06   产品侧解决方案

若想了解更多产品信息或有相关业务需求,可移步至http://360.net。

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段,对该类漏洞的利用进行实时检测和阻断,请用户联系相关产品区域负责人获取对应产品。

360安全卫士

Windows用户可通过360安全卫士实现对应补丁安装、漏洞修复、恶意软件查杀,其他平台的用户可以根据修复建议列表中的安全建议进行安全维护。

360CERT建议广大用户使用360安全卫士定期对设备进行安全检测,以做好资产自查以及防护工作。

360安全卫士团队版

用户可以通过安装360安全卫士并进行全盘杀毒来维护计算机安全。360CERT建议广大用户使用360安全卫士定期对设备进行安全检测,以做好资产自查以及防护工作。

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台,实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测,请及时更新网络神经元(探针)规则和本地安全大脑关联分析规则,做好防护。

0x07   时间线

2022-07-16 Apache官方发布通告

2022-07-19 360CERT发布通告

0x08   参考链接

1、 https://spark.apache.org/security.html