CVE-2021-37404

Przepełnienie bufora sterty w Apache Hadoop libhdfs (RCE/DoS)

CVSS 9.8v3.1pub. 2022-06-13upd. 2024-11-21

W natywnym kodzie biblioteki libhdfs systemu Apache Hadoop wykryto podatność typu heap buffer overflow, która może prowadzić do odmowy usługi (DoS) lub wykonania dowolnego kodu (RCE). Podatność jest krytyczna ze względu na brak wymaganego uwierzytelnienia i możliwość zdalnego wykorzystania.

▸ Pokaż oryginał (EN)

There is a potential heap buffer overflow in Apache Hadoop libhdfs native code. Opening a file path provided by user without validation may result in a denial of service or arbitrary code execution. Users should upgrade to Apache Hadoop 2.10.2, 3.2.3, 3.3.2 or higher.

🤖 Analiza AI

Jak działa

Podatność wynika z braku walidacji ścieżki pliku dostarczanej przez użytkownika w natywnym kodzie libhdfs. Gdy aplikacja otwiera plik korzystając z niezwalidowanej ścieżki, może dojść do zapisu danych poza granicami przydzielonego bufora na stercie (heap buffer overflow, CWE-787). Atakujący może dostarczyć spreparowaną ścieżkę, która wywoła przepełnienie i umożliwi przejęcie kontroli nad wykonaniem programu lub jego awaryjne zakończenie.

Skutki

Atakujący może doprowadzić do odmowy usługi (DoS) poprzez awaryjne zakończenie procesu lub wykonać dowolny kod (RCE) w kontekście procesu korzystającego z biblioteki libhdfs, co może skutkować pełnym przejęciem kontroli nad podatnym systemem.

Mitygacja

Należy zaktualizować Apache Hadoop do wersji 2.10.2, 3.2.3, 3.3.2 lub nowszych. Jeśli natychmiastowa aktualizacja nie jest możliwa, należy ograniczyć dostęp do interfejsów przyjmujących ścieżki plików od nieuwierzytelnionych użytkowników.