安全公告
当前位置: 首页>>网络安全>>安全公告>>正文
关于 Hadoop Yarn RPC未授权访问漏洞的安全公告
2021-11-17     (点击: )

大工网安告[2021]033号

一、情况分析

近日,Hadoop Yarn RPC未授权访问漏洞在野利用,Hadoop作为一个分布式计算应用框架,种类功能繁多,而Hadoop Yarn作为其核心组件之一,负责将资源分配至各个集群中运行各种应用程序,并调度不同集群节点上的任务执行。Hadoop Yarn RPC未授权访问使得攻击者无需认证即可通过RPC通信执行恶意命令。 Hadoop Yarn RPC未授权访问漏洞存在于Hadoop Yarn中负责资源管理和任务调度的ResourceManager,成因是该组件为用户提供的RPC服务默认情况下无需认证即可访问。

二、影响范围

Hadoop Yarn : 全部版本

三、处置建议

Apache Hadoop 官方建议用户开启 Kerberos 认证。