服務(wù)公告
Hadoop Yarn RPC未授權(quán)訪問漏洞預(yù)警
2021-11-15
一、概要
近日，華為云關(guān)注到業(yè)界披露Hadoop Yarn RPC存在未授權(quán)訪問漏洞，并且已發(fā)現(xiàn)在野攻擊利用，Hadoop Yarn默認(rèn)對外開放RPC服務(wù)，且RPC服務(wù)默認(rèn)可未授權(quán)訪問，可被攻擊者利用，嚴(yán)重可導(dǎo)致遠(yuǎn)程代碼執(zhí)行。此外需注意，由于Hadoop Yarn RPC服務(wù)訪問控制機理開啟方式跟REST API不一樣，因此即使在 REST API已有授權(quán)認(rèn)證的情況下，RPC服務(wù)所在的端口仍然可以被未授權(quán)訪問。
Apache Hadoop YARN是Hadoop集群一種新的通用資源管理系統(tǒng)和調(diào)度平臺，華為云提醒使用Apache Hadoop YARN的用戶盡快安排自檢并做好安全加固。
二、威脅級別
威脅級別：【嚴(yán)重】
（說明：威脅級別共四級：一般、重要、嚴(yán)重、緊急）
三、漏洞影響范圍
影響版本：
Apache Hadoop 所有版本
四、漏洞處置
1、根據(jù)Apache Hadoop官方提供的建議，開啟Kerberos認(rèn)證，相關(guān)配置設(shè)置請參考如下鏈接：
2、設(shè)置 Hadoop RPC服務(wù)端口僅對可信地址開放。
注：修復(fù)漏洞前請將資料備份，并進(jìn)行充分測試。