p PatchFirst

CVE-2020-9480

CVE-2020-9480

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

In Apache Spark 2.4.5 and earlier, a standalone resource manager's master may be configured to require authentication (spark.authenticate) via a shared secret. When enabled, however, a specially-crafted RPC to the master can succeed in starting an application's resources on the Spark cluster, even without the shared key. This can be leveraged to execute shell commands on the host machine. This does not affect Spark clusters using other resource managers (YARN, Mesos, etc).

CVSS 9.8 · Crítica · EPSS 29,4% · Código de explotación público · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • apache spark

    Versiones
    • Apache Spark 2.4.5 and earlier: Afectada

    Sin corrección publicada

  • org.apache.spark:spark-parent_2.11 Maven

    Versiones
    • 1.3.0
    • 1.3.1
    • 1.4.0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 2.0.0
    • 2.0.0-preview
    • 2.0.1
    • 2.0.2
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.4.5
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.4.6

    Actualiza a 2.4.6

  • pyspark PyPI

    Versiones
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.4.5
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.4.6

    Actualiza a 2.4.6

Fuentes originales

Comprueba tu servidor →