Apache Spark 命令注入漏洞风险通告（CVE-2022-33891）

 Apache Spark官方发布安全通告，公告称 Spark 存在命令注入漏洞，漏洞编号CVE-2022-33891。可导致执行任意命令等危害。

未接受万叁运营托管服务的用户，为避免你的业务受影响，建议及时开展安全自查，如在受影响范围，请及时进行更新修复，避免被外部攻击者入侵。

漏洞详情

Apache Spark 是专为大规模数据处理而设计的快速通用的计算引擎，是UC Berkeley AMP lab (加州大学伯克利分校的AMP实验室)所开源的类Hadoop MapReduce的通用并行框架。

据描述，Apache Spark UI 中可通过配置选项 spark.acls.enable 启用 ACL 。这些身份验证过滤器会检查用户是否具有查看或修改应用程序的访问权限。如果启用ACL，则 HttpSecurityFilter 中的代码路径可允许攻击者冒充任意用户。该功能可根据他们的输入创建一个 Unix shell 命令并执行，最终导致执行任意命令。

风险等级

高风险

漏洞风险

攻击者利用该漏洞可导致远程执行任意命令

影响版本

Apache Spark =< 3.0.3

Apache Spark 3.1.1 - 3.1.2

Apache Spark 3.2.0 - 3.2.1

安全版本

Apache Spark >= 3.3.0

Apache Spark >= 3.1.3

Apache Spark >= 3.2.2

修复建议

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本

【备注】：建议在升级前做好数据备份工作，避免出现意外

漏洞参考

https://spark.apache.org/security.html