01
时间轴
阿里云云防火墙IPS更新防护策略,支持该漏洞拦截。
02
风险等级
评定方式
等级
威胁等级
高危
影响范围
较广
利用难度
低
03
漏洞分析
Hadoop Yarn RPC未授权访问漏洞存在于Hadoop Yarn中负责资源管理和任务调度的ResourceManager,成因是该组件为用户提供的RPC服务默认情况下无需认证即可访问,因此把RPC服务暴露在公网上是非常危险的。
RPC服务利用这一问题会影响到部分有安全意识的用户。一部分用户基于过去几年中基于多种利用Hadoop的历史蠕虫已经意识到RESTful API的风险,通过配置开启了基于HTTP的认证,或通过防火墙/安全组封禁了RESTful API对应的8088端口,但由于他们没有意识到Hadoop同时提供RPC服务,并且访问控制机制开启方式跟REST API不一样,导致用户Hadoop集群中RPC服务所在的8032端口仍然可以未授权访问。
经测试可知,对于8032暴露在互联网且未开启kerberos的Hadoop Yarn ResourceManager,编写应用程序调用yarnClient.getApplications()即可查看所有应用信息
04
漏洞演示
05
参考链接
具体缓解以及防护措施可见 https://help.aliyun.com/noticelist/articleid/1060952286.html
1、 Apache Hadoop官方建议用户开启Kerberos认证。
2、利用阿里云安全组功能,设置 Hadoop RPC服务所在端口仅对可信地址开放。
06
参考链接
https://hadoop.apache.org/docs/current/hadoop-yarn/hadoop-yarn-site/YARN.html