CVE-2020-9480 | Apache Spark远程代码执行缝隙公告

颁布功夫 2020-06-24

0x00 缝隙概述


CVE   ID

CVE-2020-9480

时    间

2020-06-24

类    型

RCE

等    级

高危

远程利用

是

影响领域

Apache Spark < = 2.4.5


0x01 缝隙详情


GA黄金甲·(中国区)官方网站


Apache Spark 是专为大规模数据处置而设计的急剧通用的推算引擎。Spark是UC Berkeley AMP lab所开源的类Hadoop MapReduce的通用并行框架，它与 Hadoop 拥有类似的开源集群推算环境，但是两者之间还存在一些分歧之处，这使 Spark 在某些工作负载方面阐发得越发优厚，Spark 启用了内存散布数据集，除了可能提供交互式查问表，它还能够优化迭代工作负载。

近日，Apache官方颁布公告，建复了一个Apache Spark远程代码执行缝隙。在Apache Spark 2.4.5以及更早版本中，独立资源治理器的主服务器可能被配置为必要通过共享密钥进行身份验证(spark.authenticate)。由于Spark的认证机造存在缺点，导致共享密钥认证失效。攻击者可在未授权的情况下，远程发送精心机关的过程挪用指令，来启动Spark集群上的利用法式资源，并获得指标服务器的权限，从而实现远程代码执行。

该缝隙等级为高危，GA黄金甲VSRC建议受影响的用户实时升级至最新版本。



0x02 措置建议


官方已颁布最新版本，下载地址：

https://github.com/apache/spark/releases


0x03 有关新闻


https://osint.geekcq.com/2020/06/23/cve-2020-9480/


0x04 参考链接


https://spark.apache.org/security.html


0x05 功夫线


2020-06-24 VSRC颁布缝隙公告


GA黄金甲·(中国区)官方网站