CVE-2018-11770

मध्यमप्रकाशित

प्रकाशित: 13 अग॰ 2018
अद्यतन: 5 अग॰ 2024
सीएनए असाइन करना: apache
साक्ष्य देखे गए: 8 अग॰ 2026

प्राथमिक सीवीएसएस

4.2/ 10मध्यम

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

ईपीएसएस संभाव्यता अनुमान

65.8%

उच्च · अगले 30 दिन

प्रतिशत: 99.3%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

संस्करण 1.3.0 से आगे, Apache Spark का स्टैंडअलोन मास्टर, spark-submit द्वारा उपयोग किए जाने वाले सबमिशन तंत्र के अतिरिक्त, जॉब सबमिशन के लिए एक REST API उजागर करता है। स्टैंडअलोन में, कॉन्फ़िग प्रॉपर्टी 'spark.authenticate.secret' spark-submit के माध्यम से जॉब सबमिट करने के अनुरोधों को प्रमाणित करने के लिए एक साझा गुप्त कुंजी स्थापित करती है। हालाँकि, REST API इस या किसी अन्य प्रमाणीकरण तंत्र का उपयोग नहीं करता है, और यह पर्याप्त रूप से प्रलेखित नहीं है। इस मामले में, एक उपयोगकर्ता REST API का उपयोग करके बिना प्रमाणीकरण के एक ड्राइवर प्रोग्राम चला सकता है, लेकिन एक्ज़ीक्यूटर लॉन्च नहीं कर सकता है। यह REST API Mesos द्वारा भी उपयोग किया जाता है, जब इसे क्लस्टर मोड में चलाने के लिए सेट किया जाता है (अर्थात, जब MesosClusterDispatcher भी चल रहा होता है), जॉब सबमिशन के लिए। Spark के भविष्य के संस्करण इन बिंदुओं पर प्रलेखन में सुधार करेंगे, और REST APIs चलाते समय 'spark.authenticate.secret' सेट करने पर प्रतिबंध लगाएंगे, ताकि यह स्पष्ट हो सके। भविष्य के संस्करण 'spark.master.rest.enabled' के डिफ़ॉल्ट मान को 'false' में बदलकर स्टैंडअलोन मास्टर में REST API को डिफ़ॉल्ट रूप से अक्षम भी कर देंगे।

स्रोत

CVE-2018-11770एक्सप्लॉइट
Apache Spark के लिए Python RCE exploit जो Metasploit module से पुनर्लिखित है

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।