Apache Hadoop YARN 远程代码执行漏洞

漏洞描述

Apache Hadoop YARN CapacityScheduler 提供了在 Hadoop 的管理资源和调度作业的功能。

Apache Hadoop YARN CapacityScheduler 中的 ZKConfigurationStore 由于没有验证从 ZooKeeper 获得的数据就进行反序列化处理，使得有权访问 ZooKeeper 的攻击者通过特制数据以 YARN 用户身份运行任意命令。

漏洞名称	Apache Hadoop YARN 远程代码执行漏洞
漏洞类型	代码注入
发现时间	2022/8/25
漏洞影响广度	一般
MPS编号	MPS-2021-20833
CVE编号	CVE-2021-25642
CNVD编号	-

影响范围

org.apache.hadoop:hadoop-yarn-server-resourcemanager@[3.0.0-alpha, 3.2.4)

org.apache.hadoop:hadoop-yarn-server-resourcemanager@[3.3.0, 3.3.4)

org.apache.hadoop:hadoop-yarn-server-resourcemanager@[2.9.0, 2.10.2)

修复方案

升级org.apache.hadoop:hadoop-yarn-server-resourcemanager到 2.10.2 或 3.2.4 或 3.3.4 或更高版本