中危 Apache Spark命令注入漏洞

CVE编号

N/A

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2022-03-26

漏洞描述

Apache Spark 是专为大规模数据处理而设计的快速通用的计算引擎。 当 Spark 任务的文件名可控时，`Utils.unpack` 采用命令拼接的形式对 tar 文件进行解压，存在任意命令注入的风险。这是源于 Hadoop 中 unTar 函数存在问题，在其执行 shell 命令之前未正确转义文件名，直接拼接命令导致任意命令注入。 影响版本： Spark Core 3.1.2, 3.2.1 漏洞利用需要在提交Spark Job中指定调用受影响的函数，实际风险较低。

解决建议

升级至Spark Core 3.1.3, 3.2.2

参考链接
https://github.com/apache/spark/commit/057c051285ec32c665fb458d0670c1c16ba536b2

阿里云评分 6.9

• 攻击路径 本地
• 攻击复杂度 容易
• 权限要求 普通权限
• 影响范围 全局影响
• EXP成熟度 POC 已公开
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 服务器失陷
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-78	OS命令中使用的特殊元素转义处理不恰当（OS命令注入）

Exp相关链接

• https://github.com/apache/spark/commit/057c051285ec32c665fb458d0670c1c16ba536b2

- avd.aliyun.com