KnowSafe 安全预警：Apache Spark 任意代码执行漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-9480 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

在ApacheSpark2.4.5和更早版本中，独立资源管理器的主服务器可能配置为需要身份验证(spark.认证)通过一个共同的秘密。然而，当启用时，一个特制的主RPC可以成功地在Spark集群上启动应用程序的资源，即使没有共享密钥。这可以用来在主机上执行shell命令。这不会影响使用其他资源管理器（YARN、Mesos等）的Spark集群。

影响范围

应用：apache spark（影响面 Up to (including) 2.4.5）

解决方案

升级至安全版本。

参考信息

https://lists.apache.org/thread.html/r03ad9fe7c07d6039fba9f2152d345274473cb0af3d8a4794a6645f4b%40%3Cuser.spark.apache.org%3E

https://lists.apache.org/thread.html/ra0e62a18ad080c4ce6df5e0202a27eaada75222761efc3f7238b5a3b%40%3Ccommits.doris.apache.org%3E

https://lists.apache.org/thread.html/rb3956440747e41940d552d377d50b144b60085e7ff727adb0e575d8d%40%3Ccommits.submarine.apache.org%3E

https://lists.apache.org/thread.html/ree9e87aae81852330290a478692e36ea6db47a52a694545c7d66e3e2%40%3Cdev.spark.apache.org%3E

https://spark.apache.org/security.html#CVE-2020-9480

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。