KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-25642 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
2022年8月25日，Apache Hadoop官方披露CVE-2021-25642 Apache Hadoop Yarn 反序列化代码执行漏洞。Apache Hadoop YARN CapacityScheduler 在使用 ZKConfigurationStore时，会从ZooKeeper中获取的数据并进行反序列化。能够访问ZooKeeper的攻击者可以利用该漏洞以YARN用户的身份运行任意命令。
漏洞利用条件需要额外配置，且要求攻击者能控制ZooKeeper中的数据，实际利用条件复杂苛刻。实际风险低
如您在使用 KnowSafeE-MapReduce的YARN服务，其 yarn.scheduler.configuration.store.class默认为file，即未开启ZKConfigurationStore，此时可以忽略该说明。
影响版本
2.9.0 <= Apache Hadoo <= 2.10.1
3.0.0-alpha <= Apache Hadoo <= 3.2.3
3.3.0 <= Apache Hadoo <= 3.3.3
安全版本
Apache Hadoop 2.10.2
Apache Hadoop 3.2.4
Apache Hadoop 3.3.4
影响范围
应用：apache hadoop（影响面 Up to (excluding) 2.10.2）
应用：apache hadoop（影响面 Up to (excluding) 3.2.4）
应用：apache hadoop（影响面 Up to (excluding) 3.3.4）
解决方案
官方已发布相关安全更新，若您使用了 ZKConfigurationStore，建议升级至最新版本。
参考信息
https://lists.apache.org/thread/g6vf2h4wdgzzdgk91mqozhs58wotq150
https://security.netapp.com/advisory/ntap-20221201-0003/
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。