PT-2020-8522 · Apache · Apache Hadoop

Jon-Wei

·

Publicado

2020-09-30

·

Atualizado

2021-04-30

·

CVE-2018-11765

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
**Nome do software vulnerável e versões afetadas:
Versões do Apache Hadoop 2.8.0 a 2.8.5
Versões do Apache Hadoop 2.9.0 a 2.9.2
Versões do Apache Hadoop 3.0.0-alpha2 a 3.0.0
Descrição:
A vulnerabilidade permite que qualquer usuário acesse determinados servlets sem autenticação quando a autenticação Kerberos está habilitada e o SPNEGO via HTTP não está habilitado.
Recomendações:
Para as versões 2.8.0 a 2.8.5 do Apache Hadoop, considere habilitar o SPNEGO via HTTP para mitigar o risco.
Para as versões do Apache Hadoop 2.9.0 a 2.9.2, considere habilitar o SPNEGO via HTTP para mitigar o risco.
Para as versões do Apache Hadoop 3.0.0-alpha2 a 3.0.0, considere habilitar o SPNEGO via HTTP para mitigar o risco.

Correção

Improper Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2018-11765
GHSA-RHH9-CM65-3W54

Produtos afetados

Apache Hadoop