Podatności Apache Spark

4 znanych podatności CVE w Apache Spark, przetłumaczonych i ocenionych.

CVE-2017-12612Wysokie
W Apache Spark w wersjach od 1.6.0 do 2.1.1 API uruchamiania wykonuje niebezpieczną deserializację danych otrzymywanych przez gniazdo. To sprawia, że aplikacje uruchamiane programowo za pomocą API uruchamiania mogą być podatne na wykonanie dowolnego kodu przez atakującego z dostępem do konta użytkownika na lokalnej maszynie.
CVE-2022-33891WysokieAktywnie exploitowane
Apache Spark UI umożliwia włączenie list kontroli dostępu (ACL) poprzez opcję konfiguracyjną spark.acls.enable. Jeśli ACL są włączone, ścieżka kodu w HttpSecurityFilter może pozwolić na podszycie się pod dowolną nazwę użytkownika. Złośliwy użytkownik może następnie uzyskać dostęp do funkcji sprawdzania uprawnień, która zbuduje polecenie powłoki Unix na podstawie danych wejściowych i wykona je, co prowadzi do wykonania dowolnego polecenia powłoki jako użytkownik, jako który działa Spark. Dotyczy to Apache Spark w wersjach 3.0.3 i wcześniejszych, 3.1.1 do 3.1.2 oraz 3.2.0 do 3.2.1.
CVE-2026-32773Średnie
W Spark History Server przed wersją 3.5.8 brakuje escapowania XSS, co pozwala złośliwemu zadaniu Spark na wygenerowanie dowolnego nieescapowanego kodu frontendowego, co może prowadzić do minimalnej eskalacji uprawnień w przeglądarce. Podatność oznaczono jako 'niską', ponieważ wymaga stosunkowo wysokich uprawnień (możliwość uruchomienia zadania Spark) oraz nakłonienia użytkownika z wyższymi uprawnieniami do zalogowania się i odwiedzenia strony historii Spark.
CVE-2025-55039Średnie
Podatność w Apache Spark przed wersjami 3.4.4, 3.5.2 i 4.0.0 dotyczy domyślnego, niebezpiecznego szyfru sieciowego dla komunikacji RPC między węzłami. Gdy włączone jest szyfrowanie sieci (spark.network.crypto.enabled=true), ale nie skonfigurowano jawnie algorytmu, Spark domyślnie używa AES w trybie CTR, który nie zapewnia uwierzytelniania. Pozwala to atakującemu typu man-in-the-middle na modyfikację zaszyfrowanego ruchu RPC bez wykrycia.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS