CVE-2022-25168
Açıklama
Apache Hadoop'un FileUtil.unTar(File, File) API'si, giriş dosya adını kabuğa aktarmadan önce kaçış karakterlerini uygulamaz. Bir saldırgan rastgele komutlar enjekte edebilir. Bu durum yalnızca yerel bir kullanıcı tarafından çalıştırılan Hadoop 3.3 InMemoryAliasMap.completeBootstrapTransfer içerisinde kullanılır. Uzaktan kod çalıştırmaya olanak tanıyan yarn lokalizasyonu için Hadoop 2.x sürümünde kullanılmıştır. Ayrıca Apache Spark'ta, SQL komutu ADD ARCHIVE üzerinden kullanılmaktadır. ADD ARCHIVE komutu sınıf yoluna (classpath) yeni ikili dosyalar eklediği için, kabuk betikleri çalıştırabilmek çağıran kişiye yeni izinler sağlamaz. SPARK-38305. 3.3.0, 3.1.4 ve 3.2.2 sürümlerinde yer alan "Check existence of file before untarring/zipping" özelliği, kullanılan hadoop kütüphanelerinin sürümünden bağımsız olarak kabuk komutlarının çalıştırılmasını engeller. Kullanıcıların Apache Hadoop 2.10.2, 3.2.4, 3.3.3 veya daha üstü sürümlere (HADOOP-18136 dahil) yükseltme yapmaları önerilir.
Nasıl düzeltilir
- org.apache.hadoop:hadoop-common2.10.2, 3.2.4, 3.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache hadoop | 2.0.0 ≤ v ≤ 2.10.1, 3.0.0 ≤ v ≤ 3.2.3, 3.3.0 ≤ v ≤ 3.3.2 | — |
| org.apache.hadoop:hadoop-commonMaven | 2.0.0 ≤ v < 2.10.2, 3.0.0-alpha ≤ v < 3.2.4, 3.3.0 ≤ v < 3.3.3 | 2.10.2, 3.2.4, 3.3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.