KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2023-32007 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
该漏洞是针对此前CVE-2022-33891漏洞的修订，原有漏洞通告中认为3.1.3版本不受影响，后被发现也受到影响，3.1.3版本已不再维护，官方建议升级至3.4.0版本。
Apache Spark是美国阿帕奇（Apache）软件基金会的一款支持非循环数据流和内存计算的大规模数据处理引擎。
当Apache Spark UI启用了 ACL，则 HttpSecurityFilter 中的代码路径允许通过提供任意用户名来模拟执行（url中doAs参数）。
doAs参数中的用户名被拼接进shell命令，攻击者可以通过访问/?doAs={payload}利用Spark UI执行任意shell命令。
影响范围
应用：apache spark（影响面 Up to (including) 3.0.3）
应用：apache spark（影响面 Up to (including) 3.1.3）
应用：apache spark（影响面 Up to (including) 3.2.1）
解决方案
将组件 org.apache.spark:spark-core_2.12 升级至 3.2.2 及以上版本
参考信息
http://www.openwall.com/lists/oss-security/2023/05/02/1
https://lists.apache.org/thread/poxgnxhhnzz735kr1wos366l5vdbb0nv
https://spark.apache.org/security.html
https://www.cve.org/CVERecord?id=CVE-2022-33891
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。