CVE-2023-22946
Apache Spark تصعيد صلاحيات proxy-user من فئة تكوين ضارة
- تم النشر
- 17/04/2023
- محدث
- 21/10/2024
- تخصيص CNA
- apache
- الأدلة المرصودة
- 14/10/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 65.4%
- تاريخ الموديل
- 19/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
في إصدارات Apache Spark السابقة للإصدار 3.4.0، يمكن للتطبيقات التي تستخدم spark-submit تحديد 'proxy-user' للتشغيل به، مما يحد من الصلاحيات. ومع ذلك، يمكن للتطبيق تنفيذ تعليمات برمجية بصلاحيات المستخدم المُرسِل، من خلال توفير فئات ضارة متعلقة بالإعدادات على مسار الفئات (classpath). يؤثر هذا على البنى التي تعتمد على proxy-user، على سبيل المثال تلك التي تستخدم Apache Livy لإدارة التطبيقات المُرسَلة. قم بالتحديث إلى Apache Spark 3.4.0 أو أحدث، وتأكد من ضبط spark.submit.proxyUser.allowCustomClasspathInClusterMode على قيمته الافتراضية "false"، وألا يتم تجاوزها بواسطة التطبيقات المُرسَلة.
المصادر
Apache Spark 4.2.0 - عالي - عن بُعد - بقايا صلاحيات - proxy-user defaultExtraClassPath
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.