RCE não autenticada no Apache Hadoop YARN ResourceManager

Existe uma vulnerabilidade de acesso não autorizado no Apache Hadoop YARN ResourceManager quando sua API REST (porta padrão 8088) ou portas RPC são expostas sem autenticação habilitada. Por padrão, o Hadoop deixa os consoles web HTTP e os serviços RPC sem segurança. Isso permite que atacantes executem código arbitrário remotamente ou sequestrem recursos do cluster.

Impacto

• Execução remota de comandos nos nós do cluster.
• Sequestro de recursos (ex.: mineração de criptomoedas, DDoS).
• Exposição de dados por meio do acesso ao HDFS.
• Potencial escalonamento de privilégios se o YARN for executado como um usuário com privilégios elevados.

Configurações Afetadas

Todas as versões do Hadoop com configurações de segurança padrão – especialmente:

• Apache Hadoop 2.x (2.6 – 2.9)
• Distribuições CDH / HDP com configurações padrão
• Qualquer implantação em que:
  • yarn.resourcemanager.webapp.address seja publicamente acessível, e
  • yarn.resourcemanager.webapp.authentication esteja definido