Apache Hadoop YARN 的 CapacityScheduler 存在远程代码执行漏洞，攻击者可利用ZooKeeper的数据操控执行任意命令。影响版本包括：3.0.0-alpha 到 3.3.4 以及 2.9.0 到 2.10.2。建议升级到 2.10.2 或更高版本以修复此问题。参考链接包括CVE详情和修复代码提交。
漏洞描述
Apache Hadoop YARN CapacityScheduler 提供了在 Hadoop 的管理资源和调度作业的功能。
Apache Hadoop YARN CapacityScheduler 中的 ZKConfigurationStore 由于没有验证从 ZooKeeper 获得的数据就进行反序列化处理，使得有权访问 ZooKeeper 的攻击者通过特制数据以 YARN 用户身份运行任意命令。
| 漏洞名称 | Apache Hadoop YARN 远程代码执行漏洞 |
|---|---|
| 漏洞类型 | 代码注入 |
| 发现时间 | 2022/8/25 |
| 漏洞影响广度 | 一般 |
| MPS编号 | MPS-2021-20833 |
| CVE编号 | CVE-2021-25642 |
| CNVD编号 | - |
影响范围
org.apache.hadoop:hadoop-yarn-server-resourcemanager@[3.0.0-alpha, 3.2.4)
org.apache.hadoop:hadoop-yarn-server-resourcemanager@[3.3.0, 3.3.4)
org.apache.hadoop:hadoop-yarn-server-resourcemanager@[2.9.0, 2.10.2)
修复方案
升级org.apache.hadoop:hadoop-yarn-server-resourcemanager到 2.10.2 或 3.2.4 或 3.3.4 或更高版本
最低0.47元/天 解锁文章
718
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
