CVE-2025-55039

Bu problem Apache Spark-ın 3.4.4, 3.5.2 və 4.0.0 versiyalarından əvvəlki versiyalarına təsir edir. Apache Spark-ın 4.0.0, 3.5.2 və 3.4.4 versiyalarından əvvəlki versiyaları düyünlər arasındakı RPC kommunikasiyası üçün təhlükəsiz olmayan standart şəbəkə şifrələmə sifrini istifadə edir. spark.network.crypto.enabled parametri true olaraq təyin edildikdə (standart olaraq false təyin edilib), lakin spark.network.crypto.cipher açıq şəkildə konfiqurasiya edilmədikdə, Spark autentifikasiyasız şifrələmə təmin edən CTR rejimindəki AES (AES/CTR/NoPadding) variantını standart olaraq seçir. Bu zəiflik, aradakı adam (man-in-the-middle) hücumçusuna şifrəli mətndə bitləri dəyişdirərək şifrələnmiş RPC trafikini aşkar olunmadan modifikasiya etməyə imkan verir ki, bu da potensial olaraq heartbeat mesajlarını və ya tətbiq məlumatlarını təhlükə altına salaraq Spark iş axınlarının bütövlüyünə təsir göstərə bilər. Bu problemi aradan qaldırmaq üçün istifadəçilər ya autentifikasiya edilmiş şifrələməni aktivləşdirmək üçün spark.network.crypto.cipher parametrini AES/GCM/NoPadding olaraq konfiqurasiya etməli, ya da daha güclü nəqliyyat təhlükəsizliyi təmin edən spark.ssl.enabled parametrini true təyin edərək SSL şifrələməsini aktivləşdirməlidirlər.