CVE-2023-22946
Apache Spark proxy-user privilege escalation da classe di configurazione malevola
- Pubblicato
- 17 apr 2023
- Aggiornato
- 21 ott 2024
- Assegnazione CNA
- apache
- Evidenza osservata
- 14 ott 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 65,4%
- Data del modello
- 19 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Nelle versioni di Apache Spark precedenti alla 3.4.0, le applicazioni che utilizzano spark-submit possono specificare un 'proxy-user' con cui eseguire, limitando i privilegi. L'applicazione può tuttavia eseguire codice con i privilegi dell'utente che effettua l'invio, fornendo classi dannose relative alla configurazione sul classpath. Ciò influisce sulle architetture che si basano su proxy-user, ad esempio quelle che utilizzano Apache Livy per gestire le applicazioni inviate. Aggiornare ad Apache Spark 3.4.0 o versioni successive e assicurarsi che spark.submit.proxyUser.allowCustomClasspathInClusterMode sia impostato al suo valore predefinito "false" e non venga sovrascritto dalle applicazioni inviate.
Fonti
Apache Spark 4.2.0 - Alta - Remoto - Privilegio residuo - proxy-user defaultExtraClassPath
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.