PT-2022-9679 · Apache · Apache Hadoop

Liu Ximing · Publicado 2022-08-25 · Atualizado 2023-02-10 · CVE-2021-25642

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Hadoop anteriores à 2.10.2

Versões do Apache Hadoop anteriores à 3.2.4

Versões do Apache Hadoop anteriores à 3.3.4

Descrição

O ZKConfigurationStore, usado opcionalmente pelo CapacityScheduler do Apache Hadoop YARN, desserializa dados do ZooKeeper sem validação, permitindo que um invasor com acesso ao ZooKeeper execute comandos arbitrários como usuário do YARN.

Recomendações

Para versões anteriores à 2.10.2, atualize para o Apache Hadoop 2.10.2 ou posterior.

Para versões anteriores à 3.2.4, atualize para o Apache Hadoop 3.2.4 ou posterior.

Para versões anteriores à 3.3.4, atualize para o Apache Hadoop 3.3.4 ou posterior.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2021-25642

GHSA-RR2M-GFFV-MGRJ

Produtos afetados

Apache Hadoop

Referências · 8

• https://github.com/apache/hadoop · Nota
• https://github.com/apache/hadoop/commit/5e2f4339fadc88f20543915fc9b0aaeaf4f9e7bf · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-25642 · Nota de Segurança
• https://lists.apache.org/thread/g6vf2h4wdgzzdgk91mqozhs58wotq150 · Aviso do Fabricante
• https://t.me/pentestingnews/27372 · Publicação no Telegram
• https://security.netapp.com/advisory/ntap-20221201-0003 · Nota
• https://osv.dev/vulnerability/CVE-2021-25642 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rr2m-gffv-mgrj · Aviso do Fabricante