CVE-2018-11770

概要

バージョン1.3.0以降、Apache Sparkのスタンドアロンマスターは、spark-submitで使用される送信メカニズムに加えて、ジョブ送信用のREST APIを公開しています。スタンドアロンでは、設定プロパティ'spark.authenticate.secret'が、spark-submit経由でジョブを送信するリクエストを認証するための共有シークレットを確立します。しかし、REST APIはこれや他の認証メカニズムを使用しておらず、この点は十分に文書化されていません。この場合、ユーザーは認証なしでドライバープログラムを実行できますが、REST APIを使用してエグゼキューターを起動することはできません。このREST APIは、クラスターモードで実行するように設定されている場合（つまり、MesosClusterDispatcherも実行している場合）、Mesosでもジョブ送信に使用されます。将来のSparkバージョンでは、これらの点に関するドキュメントを改善し、REST APIを実行する際の'spark.authenticate.secret'の設定を禁止して、これを明確にする予定です。将来のバージョンでは、'spark.master.rest.enabled'のデフォルト値を'false'に変更することで、スタンドアロンマスターでREST APIをデフォルトで無効化します。

• CVE-2018-11770エクスプロイト

  Metasploitモジュールから書き換えられたApache Spark向けPython RCEエクスプロイト