KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-25168 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
2022年8月4日，Apache Hadoop官方披露修复了一个命令注入漏洞。由于Apache Hadoop的FileUtil.unTar API在传递shell之前未对输入的文件名进行转义，攻击者可以利用该漏洞注入任意命令。
如您在使用 KnowSafeE-MapReduce 集群，并且已经按照 EMR 文档修复建议进行了漏洞修复，那么即可忽略该说明。
EMR相关文档 https://help.aliyun.com/zh/emr/emr-on-ecs/product-overview/vulnerability-announcement-or-fileutil-untar-command-injection-vulnerability-in-apache-hadoop
影响版本：
2.0.0 <= Apache Hadoop <= 2.10.1
3.0.0-alpha <= Apache Hadoop <= 3.2.3
3.3.0 <= Apache Hadoop <= 3.3.2
影响范围
应用：apache hadoop（影响面 Up to (including) 2.10.1）
应用：apache hadoop（影响面 Up to (including) 3.2.3）
应用：apache hadoop（影响面 Up to (including) 3.3.2）
解决方案
安全版本
Apache Hadoop 2.10.2
Apache Hadoop 3.2.4
Apache Hadoop 3.3.3
升级到修复后的版本或应用官方提供的补丁，并重启受影响的服务。
参考信息
https://lists.apache.org/thread/mxqnb39jfrwgs3j6phwvlrfq4mlox130
https://security.netapp.com/advisory/ntap-20220915-0007/
https://www.mail-archive.com/announce@apache.org/msg07488.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。