CVE-2021-28131

Impala oturumları, oturumun başka bir kullanıcı tarafından ele geçirilmediğini doğrulamak için 16 baytlık bir gizli anahtar kullanır. Ancak bu gizli anahtarlar Impala günlüklerinde görünmektedir; bu nedenle günlüklere erişimi olan Impala kullanıcıları, özel olarak oluşturulmuş isteklerle kimliği doğrulanmış başka bir kullanıcının oturumlarını kullanabilirler. Bu durum, saldırganın normalde sahip olmadığı yetkiler gerektiren ifadeleri çalıştırabilmesi anlamına gelir. Apache Sentry veya Apache Ranger yetkilendirmesinin etkin olduğu Impala kurulumları, kimliği doğrulanmış bir saldırganın, kendisine atanmamış yetkilere sahip başka bir kimliği doğrulanmış kullanıcının oturumunu veya sorgusunu ele geçirebilmesi durumunda yetki yükseltmeye karşı savunmasız olabilir. Denetim günlüğünün (audit logging) etkin olduğu Impala kurulumları, bir kullanıcının farklı bir kimliği doğrulanmış kullanıcı adına kaydedilen eylemler gerçekleştirebilmesi nedeniyle hatalı denetim günlüğü kaydına karşı savunmasız olabilir. Bir saldırı kurgulamak, yüksek düzeyde teknik uzmanlık ve Impala sistemine kimliği doğrulanmış bir kullanıcı olarak erişim gerektirir. Azaltım: Eğer bir Impala kurulumu Apache Sentry, Apache Ranger veya denetim günlüğü kullanıyorsa, kullanıcılar IMPALA-10600 düzeltmesini içeren bir Impala sürümüne yükseltme yapmalıdır. Impala 4.0 sürümü bu düzeltmeyi içermektedir. Bu işlem, bu mekanizmayı kullanan herhangi bir saldırı riskini ortadan kaldırmak için oturum gizli anahtarlarını günlüklere karşı gizler. Yükseltme yerine, gizli anahtarları açığa çıkaran günlüklere erişimin kısıtlanması saldırı riskini azaltacaktır. Impala kurulumuna erişimin yalnızca güvenilir kullanıcılarla sınırlandırılması da saldırı riskini azaltacaktır. Gizli anahtarları günlüklere karşı maskelemek için günlük düzenleme (log redaction) teknikleri kullanılabilir.