Spark

Die Schwachstelle betrifft die Web-Oberfläche (UI) von Apache Spark und tritt auf, wenn die Zugriffskontrolllisten (ACLs) über die entsprechende Konfigurationsoption aktiviert sind. Diese ACLs sollen mithilfe eines Authentifizierungsfilters prüfen, ob ein Benutzer eine Anwendung ansehen oder verändern darf. In genau diesem Filter steckt der Defekt: Über einen fehlerhaften Code-Pfad kann ein Angreifer eine fremde Identität vortäuschen, indem er einen beliebigen Benutzernamen angibt. Dadurch erreicht er eine Berechtigungsprüfungs-Funktion, die aus seiner Eingabe einen Unix-Shell-Befehl zusammenbaut und ausführt. Im Ergebnis kann er beliebige Shell-Befehle einschleusen und ausführen – und zwar mit den Rechten des Benutzerkontos, unter dem Spark läuft. Betroffen sind Installationen, bei denen die UI mit aktivierten ACLs betrieben wird; gerade die als Sicherheitsfunktion gedachten Zugriffslisten öffnen hier den Angriffsweg.