CVE-2022-26612
Təsvir
Apache Hadoop-da unTar funksiyası Windows-da unTarUsingJava funksiyasından, Unix və digər əməliyyat sistemlərində isə daxili tar alətindən istifadə edir. Nəticədə, TAR girişi gözlənilən çıxarma qovluğu altında xarici qovluğa yönəlmiş simvolik keçid (symlink) yarada bilər. Sonrakı TAR girişi həmin simvolik keçid adından istifadə edərək xarici qovluğa ixtiyari faylı çıxara bilər. Lakin Unix-də getCanonicalPath çağırışı səbəbindən bu hal eyni targetDirPath yoxlaması ilə aşkar edilirdi. Bununla belə, Windows-da getCanonicalPath simvolik keçidləri həll etmir ki, bu da yoxlamanın yan keçilməsinə səbəb olur. TAR çıxarılması zamanı unpackEntries simvolik keçidləri izləyir ki, bu da Windows-da gözlənilən baza qovluğundan kənara yazmağa imkan verir. Bu problem Apache Hadoop 3.2.3 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- apache hadoop3.2.3 və ya daha yeni versiya
- org.apache.hadoop:hadoop-common3.2.3, 2.10.2, 3.3.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache hadoop | v < 3.2.3, 3.3.1, 3.3.2 | 3.2.3 |
| org.apache.hadoop:hadoop-commonMaven | 3.2.0 ≤ v < 3.2.3, v < 2.10.2, 3.3.0 ≤ v < 3.3.3 | 3.2.3, 2.10.2, 3.3.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.