CVE-2023-22946
Apache Spark में दुर्भावनापूर्ण कॉन्फ़िगरेशन क्लास से proxy-user विशेषाधिकार वृद्धि
- प्रकाशित
- 17 अप्रैल 2023
- अद्यतन
- 21 अक्टू॰ 2024
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 14 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 65.3%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Spark के 3.4.0 से पहले के संस्करणों में, spark-submit का उपयोग करने वाले एप्लिकेशन विशेषाधिकारों को सीमित करते हुए, चलाने के लिए एक 'proxy-user' निर्दिष्ट कर सकते हैं। हालाँकि, एप्लिकेशन क्लासपाथ पर दुर्भावनापूर्ण कॉन्फ़िगरेशन-संबंधित क्लासेस प्रदान करके सबमिट करने वाले उपयोगकर्ता के विशेषाधिकारों के साथ कोड निष्पादित कर सकता है। यह proxy-user पर निर्भर आर्किटेक्चर को प्रभावित करता है, उदाहरण के लिए वे जो सबमिट किए गए एप्लिकेशन को प्रबंधित करने के लिए Apache Livy का उपयोग करते हैं। Apache Spark 3.4.0 या बाद के संस्करण में अपडेट करें, और सुनिश्चित करें कि spark.submit.proxyUser.allowCustomClasspathInClusterMode अपने डिफ़ॉल्ट "false" पर सेट है, और सबमिट किए गए एप्लिकेशन द्वारा इसे ओवरराइड नहीं किया गया है।
स्रोत
Apache Spark 4.2.0 - उच्च - रिमोट - विशेषाधिकार अवशेष - proxy-user defaultExtraClassPath
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।