CVE-2018-11770

Riepilogo

Dalla versione 1.3.0 in poi, il master standalone di Apache Spark espone un'API REST per l'invio di job, oltre al meccanismo di invio utilizzato da spark-submit. In modalità standalone, la proprietà di configurazione 'spark.authenticate.secret' stabilisce un segreto condiviso per autenticare le richieste di invio di job tramite spark-submit. Tuttavia, l'API REST non utilizza questo né alcun altro meccanismo di autenticazione, e questo non è adeguatamente documentato. In questo caso, un utente sarebbe in grado di eseguire un programma driver senza autenticazione, ma non di avviare gli executor, utilizzando l'API REST. Questa API REST è utilizzata anche da Mesos, quando configurato per funzionare in modalità cluster (cioè quando è in esecuzione anche MesosClusterDispatcher), per l'invio di job. Le versioni future di Spark miglioreranno la documentazione su questi punti e impediranno l'impostazione di 'spark.authenticate.secret' quando si eseguono le API REST, per chiarire questo aspetto. Le versioni future disabiliteranno inoltre l'API REST per impostazione predefinita nel master standalone, modificando il valore predefinito di 'spark.master.rest.enabled' in 'false'.

• CVE-2018-11770Exploit

  Exploit Python RCE per Apache Spark riscritto da un modulo Metasploit