CVE-2023-22946
Apache Spark proxy-user Rechteausweitung durch bösartige Konfigurationsklasse
- Veröffentlicht
- 17.04.2023
- Aktualisiert
- 21.10.2024
- CNA zuweisen
- apache
- Beweise beobachtet
- 14.10.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 65,4 %
- Modelldatum
- 19.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
In Apache Spark-Versionen vor 3.4.0 können Anwendungen, die spark-submit verwenden, einen 'proxy-user' angeben, als der sie ausgeführt werden sollen, wodurch die Berechtigungen eingeschränkt werden. Die Anwendung kann jedoch Code mit den Berechtigungen des einreichenden Benutzers ausführen, indem sie bösartige konfigurationsbezogene Klassen im Classpath bereitstellt. Dies betrifft Architekturen, die auf proxy-user angewiesen sind, beispielsweise solche, die Apache Livy zum Verwalten eingereichter Anwendungen verwenden. Aktualisieren Sie auf Apache Spark 3.4.0 oder höher und stellen Sie sicher, dass spark.submit.proxyUser.allowCustomClasspathInClusterMode auf seinen Standardwert "false" gesetzt ist und nicht durch eingereichte Anwendungen überschrieben wird.
Quellen
Apache Spark 4.2.0 - Hoch - Remote - Privilegien-Rest - proxy-user defaultExtraClassPath
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.