Theo đó, trên giao diện Apache Spark UI cho phép kích hoạt ACL thông qua cấu hình trên spark.acls.enable. Trên bộ lọc xác thực này sẽ kiểm tra người dùng có quyền truy cập xem hoặc sửa đổi ứng dụng hay không.
Nếu ACL được bật, một mã thực thi đường dẫn trong HttpSecurityFilter cho phép thực hiện hành vi mạo danh bằng cách cung cấp tên người dùng tùy ý. Dưới vai người dùng này, kẻ tấn công có thể truy cập vào chức năng không giới hạn có khả năng thực hiện các mã lệnh Unix shell. Qua đó, có thể dẫn tới việc thực thi các lệnh shell tùy ý.
Các phiên bản và hệ điều hành bị ảnh hưởng bởi này bao gồm: Apache Spark từ 3.0.3 về trước; Apache Spark 3.1.1 đến 3.1 và Apache Spark 3.2.0 đến 3.2.1.
Quản trị viên và người dùng cần kiểm tra rà soát hệ thống và cập nhật bản vá mới nhất để tránh rủi ro mất .
M.H
08:00 | 29/06/2022
10:00 | 27/02/2023
16:00 | 12/05/2023
08:00 | 28/04/2022
10:00 | 28/02/2023
15:00 | 13/04/2022
14:00 | 06/08/2024
Một nhóm tin tặc có tên Stargazer Goblin đã thiết lập một mạng lưới các tài khoản GitHub không xác thực để cung cấp dịch vụ phân phối dưới dạng dịch vụ (DaaS) nhằm phát tán nhiều loại phần mềm độc hại và đánh cắp thông tin, nhóm đã thu về 100.000 USD lợi nhuận bất hợp pháp trong năm qua.
09:00 | 26/06/2024
Việc xác thực 2 yếu tố bằng mã OTP được xem là biện pháp bảo mật an toàn. Tuy nhiên các tin tặc đã tìm ra kẽ hở để sử dụng phương pháp này tấn công lừa đảo.
08:00 | 23/05/2024
Chiều 10/5, Công ty Đường sắt Đông Nhật Bản (JR East) thông tin về sự cố gián đoạn hệ thống đối với ứng dụng Mobile Suica và hệ thống đặt chỗ trực tuyến Eki-net.
08:00 | 22/05/2024
Các nhà nghiên cứu đã cảnh báo về một phần mềm gián điệp có tên Cuckoo trên hệ thống MacOS của Apple. Cuckoo có thể tồn tại lâu dài trên các máy tính mục tiêu và hoạt động như một phần mềm gián điệp, có khả năng thu thập thông tin từ các máy chủ đã bị nhiễm.
Các chuyên gia bảo mật của hãng ESET (Slovakia) vừa phát hiện một phần mềm độc hại mới trên nền tảng Android có khả năng sử dụng đầu đọc NFC để đánh cắp thông tin thanh toán từ thiết bị của nạn nhân và chuyển dữ liệu này đến tay kẻ tấn công.
10:00 | 30/08/2024