【漏洞预警】Apache Hive&Spark信息泄露漏洞（CVE-2024-23945）

cexlife 飓风网络安全 2024-12-24 11:11

漏洞描述:

Apache Hive和Apache Spark是两个广泛用于大数据生态系统的开源框架，主要用于处理和分析大规模数据集，Apache Hive和Apache Spark中存在一个敏感信息泄露漏洞（CVE-2024-23945）,该漏洞的CVSS评分为8.7，Apache Hive和Apache Spark的CookieSigner逻辑存在安全漏洞，当签名验证失败时，系统错误地将正确的签名值暴露给用户，导致攻击者可以通过构造错误的Cookie 请求触发签名验证失败并获取有效签名，成功利用该漏洞可能允许攻击者伪造合法的Cookie，从而绕过认证机制,导致未授权访问,并可能进一步引发会话劫持、权限提升等攻击。
影响范围:1.2.0 <= Apache Hive < 4.0.02.0.0 <= Apache Spark < 3.0.03.0.0 <= Apache Spark < 3.3.43.4.0 <= Apache Spark < 3.4.2Apache Spark 3.5.0受影响的组件如下: org.apache.hive:hive-service org.apache.spark:spark-hive-thriftserver_2.11 org.apache.spark:spark-hive-thriftserver_2.12修复建议:升级版本目前该漏洞已经修复,受影响用户可升级到以下版本:Apache Hive >= 4.0.0Apache Spark 2.x 系列 >= 3.0.0Apache Spark 3.0.0系列 >= 3.3.4Apache Spark 3.4.0系列 >= 3.4.2Apache Spark 3.5.0 >= 3.5.1下载链接:https://github.com/apache/spark/tagshttps://hive.apache.org/general/downloads/临时措施:*
暂无

参考链接:
https://lists.apache.org/thread/59r4mv7glrxpwkkdjvjbdljfpx3f5zzc