10критическая
BDU:2019-04864 (CVE-2018-8009)
Уязвимость компонента YARN NodeManager платформы для распределенной разработки и выполнения программ Apache Hadoop, позволяющая нарушителю обойти существующие ограничения безопасности и внедрить вредоносный код в zip-файл
Опубликовано: 2019-12-26
Описание
Уязвимость компонента YARN NodeManager платформы для распределенной разработки и выполнения программ Apache Hadoop существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти существующие ограничения безопасности и внедрить вредоносный код в zip-файл
Затрагиваемое ПО и версии
Hadoop (3.0.0-alpha1)Hadoop (3.0.0-alpha2)Hadoop (от 0.23.0 до 0.23.11 включительно)Hadoop (от 2.0.0 до 2.7.6 включительно)Hadoop (2.0.0-alpha)Hadoop (от 2.8.0 до 2.8.4 включительно)Hadoop (от 2.9.0 до 2.9.1 включительно)Hadoop (от 3.0.0 до 3.0.2 включительно)Hadoop (3.0.0-alpha3)Hadoop (3.0.0-alpha4)Hadoop (3.0.0-beta1)Hadoop (3.1.0)
Способ устранения
Использование рекомендаций:
https://hadoop.apache.org/cve_list.html#cve-2018-8009-http-cve-mitre-org-cgi-bin-cvename-cgi-name-cve-2018-8009-zip-slip-impact-on-apache-hadoop
https://lists.apache.org/thread.html/708d94141126eac03011144a971a6411fcac16d9c248d1d535a39451@%3Csolr-user.lucene.apache.org%3E
Оценка CVSS
| Балл | 10 — критическая опасность |
Источники и патчи