BDU:2025-00249

Уязвимость класса CookieSigner фреймворка Apache Spark и СУБД Apache Hive, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2025-01-14

Описание

Уязвимость класса CookieSigner фреймворка Apache Spark и СУБД Apache Hive связана с раскрытием цифровой подписи к данным cookie в результате некорректного механизма формирования отчетов об ошибках. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии

Hive (от 1.2.0 до 4.0.0)Spark (от 2.0.0 до 3.0.0)Spark (от 3.3.0 до 3.3.4)Spark (от 3.4.0 до 3.4.2)Spark (3.5.0)

Способ устранения

Использование рекомендаций:
https://github.com/apache/hive/commit/7638cb1a3b07713cc490aa2909a37037f89e08b4
https://github.com/apache/spark/commit/cf59b1f51c16301f689b4e0f17ba4dbd140e1b19
https://github.com/apache/spark/tags
https://github.com/apache/hive/tags

Оценка CVSS

Балл	5.4 — средняя опасность

Источники и патчи

https://github.com/apache/hive/blob/master/service/src/java/org/apache/hive/service/CookieSigner.java http://www.openwall.com/lists/oss-security/2024/12/23/2 https://github.com/apache/hive https://github.com/apache/hive/commit/7638cb1a3b07713cc490aa2909a37037f89e08b4 https://github.com/apache/spark https://github.com/apache/spark/commit/cf59b1f51c16301f689b4e0f17ba4dbd140e1b19 https://issues.apache.org/jira/browse/HIVE-9710 https://issues.apache.org/jira/browse/SPARK-14987

Проверьте безопасность своего сайта и почты → Полная проверка домена