CVE-2018-8024

总结

在 Apache Spark 2.1.0 至 2.1.2、2.2.0 至 2.2.1 以及 2.3.0 版本中，恶意用户可能构造一个指向 Spark 集群 UI 的作业和阶段信息页面的 URL，如果用户被诱导访问该 URL，则可被利用来执行脚本，并从用户所查看的 Spark UI 中泄露信息。虽然某些浏览器（如最新版本的 Chrome 和 Safari）能够阻止此类攻击，但当前版本的 Firefox（可能还有其他浏览器）无法阻止。

• CVEsPoC

  Rhino Security Labs 团队发现的 CVE 的概念验证漏洞利用程序