CVE-2020-9480:Apache Spark RCE漏洞风险通告

2020-06-24 13:56:56
Apache Spark更新发布了Apache Spark 2.4.5和更早版本中存在远程代码执行漏洞的安全公告。

Apache Spark更新发布了Apache Spark 2.4.5和更早版本中存在远程代码执行漏洞的安全公告。

 

【漏洞编号】

CVE-2020-9480

 

【漏洞等级】高危

 

【漏洞概述】

由于Spark的认证机制存在缺陷,导致共享密钥认证失效。攻击者利用该漏洞,可在未授权的情况下,远程发送精心构造的过程调用指令,启动Spark集群上的应用程序资源,获得目标服务器的权限,实现远程代码执行。

 

【漏洞版本】

Apache Spark < = 2.4.5

 

【安全版本】

Apache Spark 2.4.6 3.0以上版本

 

【漏洞修复】

腾讯安全专家建议相关企业及时更新到漏洞修复的版本(Spark 2.4.63.0.0以上版本),或采用腾讯安全解决方案检测漏洞利用。

Apache官方在6月5日发布Apache Spark 2.4.6,建议通过官方网站下载:http://spark.apache.org/security.html

 

【腾讯安全解决方案】

腾讯主机安全(云镜)已支持检测服务器是否存在Apache Spark远程代码执行漏洞。 


【关于Apache Spark

Apache Spark 是专为大规模数据处理而设计的快速通用的计算引擎。根据公告,Spark的认证机制存在缺陷,攻击者可以利用该缺陷远程启动Spark集群上的应用程序资源,从而造成任意命令执行。

 

参考链接:

https://github.com/apache/spark/releases


最新资讯