Hadoop Yarn RPC未授权访问漏洞

寰宇卫士 2021-11-25

2313

漏洞详情

Apache Hadoop YARN （Yet Another Resource Negotiator）是一种新的 Hadoop 资源管理器，它是一个通用的资源管理系统，可以为上层应用提供统一的资源管理以及调度，它的引入为集群在利用率、资源统一管理还有数据共享等方面带来了巨大好处。

Hadoop Yarn默认了对外开放RPC服务，攻击者可以利用RPC服务执行任意命令，进而操控服务器。同时由于Hadoop Yarn RPC的服务访问控制机制开启方式与REST API的方式不一样，所以即使在 REST API有授权认证的情况下，RPC服务所在端口依然可以未授权访问。

全版本

Vulfous

https://github.com/cckuailong/YarnRpcRCE

工具使用

java -jar YarnRpcUnauth.jar ip:port "touch /tmp/success"

1. Apache Hadoop官方建议用户开启Kerberos认证。

2. 设置 Hadoop RPC服务所在端口仅对可信地址开放。

3. 建议升级并启用Kerberos的认证功能，阻止未经授权的访问。

原为来自CSDN 李白你好｜侵删

中电运行是专业专注培养能源企业IT工匠和提供IT整体解决方案的服务商，也是能源互联网安全专家。

为方便大家沟通，中电运行开通“中电运行交流群”，诚挚欢迎能源企业和相关人士，以及对网络安全感兴趣的群体加入本群，真诚交流，互相学习

。想加入我们就给我们留言吧

。

文章转载自寰宇卫士，如果涉嫌侵权，请发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。