UCloud-202111-003:Hadoop Yarn RPC未授权访问漏洞
- 发布时间
- 更新时间
- 2021-11-15
- 漏洞等级
- High
- CVE编号
- —
漏洞描述
Hadoop Yarn作为Hadoop核心组件之一，负责将资源分配至各个集群中运行各种应用程序，并调度不同集群节点上的任务执行。近日应急响应中心监测到 Hadoop Yarn RPC未授权访问漏洞在野利用事件。Hadoop Yarn默认对外开放RPC服务，攻击者可利用RPC服务执行任意命令，控制服务器。同时由于Hadoop Yarn RPC服务访问控制机制开启方式与REST API不一样，因此即使在 REST API有授权认证的情况下，RPC服务所在端口仍然可以未授权访问, Apache Hadoop 用户尽快采取安全措施阻止漏洞攻击。
影响版本
Apache Hadoop 所有版本
修复建议：
1.Apache Hadoop官方建议用户开启Kerberos认证。
2.建议管理员配置Hadoop RPC服务所在端口仅对可信地址开放。
参考链接：
https://hadoop.apache.org/docs/current/hadoop-yarn/hadoop-yarn-site/YARN.html