一、漏洞概述
近日，绿盟科技CERT监测到Apache官方发布安全公告，修复了一个Apache Spark中的命令注入漏洞（CVE-2022-33891）。由于Apache Spark UI可通过配置选项Spark.acl.enable来启用acl，从而通过使用身份验证过滤器，可以检查用户是否具有查看或修改应用程序的访问权限。当启用了acl配置时，HttpSecurityFilter中的代码会允许某些用户提供任意用户名进行模拟执行。攻击者可以通过该功能构造Unix shell命令请求，从而实现任意shell命令执行。目前该漏洞EXP已公开，且检测到在野利用，请相关用户采取措施进行防护。
Apache Spark是一种用于大数据工作负载的分布式开源处理系统。它使用内存中缓存和优化的查询执行方式，可针对任何规模的数据进行快速分析查询。它提供使用Java、Scala、Python和R语言的开发API，支持跨多个工作负载重用代码—批处理、交互式查询、实时分析、机器学习和图形处理等。
参考链接：https://lists.apache.org/thread/p847l3kopoo5bjtmxrcwk21xp6tjxqlc
二、影响范围
受影响版本
- Apache Spark <= v3.0.3
- 3.1.1 <= Apache Spark <= 3.1.2
- 3.2.0<= Apache Spark <= 3.2.1
不受影响版本
- Apache Spark >= v3.1.3
- Apache Spark >= v3.2.2
- Apache Spark >= v3.3.0
三、漏洞防护
官方升级
目前官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护，官方下载链接： https://spark.apache.org/downloads.html
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。