CVE-2018-11770

Versiyon 1.3.0 ve sonrasında, Apache Spark'ın standalone master bileşeni, spark-submit tarafından kullanılan gönderim mekanizmasına ek olarak iş gönderimi için bir REST API sunmaktadır. Standalone modunda, 'spark.authenticate.secret' yapılandırma özelliği, spark-submit aracılığıyla iş gönderme isteklerini kimlik doğrulamak için paylaşılan bir gizli anahtar belirler. Ancak, REST API bu veya başka herhangi bir kimlik doğrulama mekanizmasını kullanmamaktadır ve bu durum yeterince belgelenmemiştir. Bu durumda bir kullanıcı, REST API kullanarak kimlik doğrulaması yapmadan bir sürücü programı çalıştırabilir ancak yürütücüleri başlatamaz. Bu REST API, küme modunda çalışacak şekilde kurulduğunda (yani MesosClusterDispatcher da çalışırken) iş gönderimi için Mesos tarafından da kullanılır. Spark'ın gelecek versiyonları bu noktalarla ilgili dokümantasyonu geliştirecek ve durumu netleştirmek için REST API'ler çalışırken 'spark.authenticate.secret' ayarlanmasını yasaklayacaktır. Gelecek versiyonlar ayrıca, 'spark.master.rest.enabled' varsayılan değerini 'false' olarak değiştirerek standalone master üzerindeki REST API'yi varsayılan olarak devre dışı bırakacaktır.