Apache Hadoop YARN ResourceManager 中的未授权 RCE

当 Apache Hadoop YARN ResourceManager 的 REST API（默认端口 8088）或 RPC 端口在未启用身份验证的情况下暴露时，存在一个未授权访问漏洞。默认情况下，Hadoop 的 HTTP Web 控制台和 RPC 服务均未启用安全防护。这使攻击者能够远程执行任意代码或劫持集群资源。

影响

• 在集群节点上远程执行命令。
• 资源劫持（例如，加密货币挖矿、DDoS）。
• 通过 HDFS 访问造成数据泄露。
• 如果 YARN 以高权限用户身份运行，则可能发生权限提升。

受影响配置

所有使用默认安全设置的 Hadoop 版本，尤其是：

• Apache Hadoop 2.x（2.6 – 2.9）
• 使用默认配置的 CDH / HDP 发行版
• 任何存在以下情况的部署：
  • yarn.resourcemanager.webapp.address 可公开访问，且
  • yarn.resourcemanager.webapp.authentication 未设置

缓解措施

• 启用身份验证 – 使用 Kerberos 或 SPNEGO；并设置 yarn.resourcemanager.webapp.authentication。
• 限制网络访问 – 使用防火墙或 VPN，确保只有受信任的 IP 才能访问 ResourceManager。
• 为 REST API 强制启用 HTTPS。
• 启用 ACL – 设置 yarn.acl.enable 并定义合适的用户/组权限。

参考

• Apache Hadoop 安全指南
• YARN REST API 文档

免责声明

本 PoC 仅用于经授权的安全测试和教育目的。对不属于您的系统进行未授权使用属违法行为。