EP3 - MAC0352 شبكات الحاسوب والأنظمة الموزعة 2023

الموضوع: CVE-2022-33891

تنفيذ أوامر شيل عشوائية في تطبيق Spark يستخدم المصادقة عبر ACL

الطلاب

• Elinilson Vital
• Leoarndo Bozzetto

تعليمات تصحيح CVE-2022-33891 لأوبونتو 22.04

المتطلبات الأساسية

• Ubuntu 22.04
• Git
• Maven
• Python 3

خطوات تطبيق التصحيح

1. استنساخ مستودع الإصلاح:

git clone https://github.com/elsvital/cve-2022-33891-fix.git

2. الانتقال إلى دليل Spark بدون التصحيح:

cd spark-3.2.0-no-patch

3. تجميع Spark بدون التصحيح:

sudo ./build/mvn -DskipTests clean package

4. بدء خدمة Spark:

sudo ./sbin/start-master.sh

5. استنساخ مستودع إثبات المفهوم للتحقق من الثغرة:

git clone https://github.com/HuskyHacks/cve-2022-33891

6. الانتقال إلى دليل مصدر إثبات المفهوم:

cd cve-2022-33891

7. التحقق من الثغرة:

python3 poc.py -u http://localhost -p 8080 --check --verbose

8. العودة إلى الدليل الرئيسي:

cd ..

9. إيقاف خدمة Spark:

sudo ./sbin/stop-master.sh

10. تطبيق التصحيح من الرابط المقدم أو دمج التغييرات في مستودعك المحلي.

# Access: https://github.com/apache/spark/commit/1d524a88f6e93e9971a09f70eb2804dca51d578c

11. إعادة تجميع Spark مع تطبيق التصحيح:

sudo ./build/mvn -DskipTests clean package

12. بدء خدمة Spark مرة أخرى:

sudo ./sbin/start-master.sh

13. العودة إلى دليل مصدر إثبات المفهوم:

cd cve-2022-33891

14. تأكيد أن الثغرة قد تم إصلاحها:

python3 poc.py -u http://localhost -p 8080 --check --verbose

فيديو تعليمي

للحصول على شرح فيديو لعملية التصحيح، شاهد البرنامج التعليمي على:

ملاحظات إضافية

استبدل http://localhost بعنوان IP المناسب أو اسم المضيف لخدمة Spark الخاصة بك إذا لزم الأمر.