PT-2022-3981 · Apache · Apache Hadoop+1
Kostya Kortchinsky
·
Publicado
2022-08-04
·
Atualizado
2025-12-30
·
CVE-2022-25168
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Apache Hadoop anteriores à 2.10.2
Versões do Apache Hadoop anteriores à 3.2.4
Versões do Apache Hadoop anteriores à 3.3.3
Descrição
O problema está relacionado à API
FileUtil.unTar(File, File) no Apache Hadoop, que não escapa o nome do arquivo de entrada antes de ser passado para o shell, permitindo que um invasor injete comandos arbitrários. Essa API é usada no Hadoop 3.3 InMemoryAliasMap.completeBootstrapTransfer, que é executado apenas por um usuário local, e no Hadoop 2.x para localização do YARN, permitindo a execução remota de código. Ela também é usada no Apache Spark a partir do comando SQL ADD ARCHIVE, mas a execução de scripts de shell não confere novas permissões ao chamador.Recomendações
Para resolver o problema, os usuários devem atualizar para o Apache Hadoop 2.10.2 ou superior.
Para resolver o problema, os usuários devem atualizar para o Apache Hadoop 3.2.4 ou superior.
Para resolver o problema, os usuários devem atualizar para o Apache Hadoop 3.3.3 ou superior.
Como solução alternativa temporária, considere restringir o uso da API
FileUtil.unTar(File, File) até que um patch esteja disponível.Evite usar o comando SQL ADD ARCHIVE no Apache Spark até que o problema seja resolvido.
Correção
RCE
Argument Injection
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Hadoop
Apache Spark