🇰🇷 한글 설명
Apache Airflow Spark Provider에서 발생하는 취약점으로, 신뢰할 수 없는 데이터의 역직렬화 및 신뢰할 수 없는 제어 영역의 기능 포함 문제가 있습니다. Spark hook을 구성할 수 있는 권한을 가진 사용자가 악의적인 Spark 서버를 지정함으로써 Airflow 노드에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Airflow 설정 권한이 있는 사용자가 가짜 Spark 서버를 연결하면, 해당 서버를 통해 해커가 시스템을 마음대로 조종할 수 있는 보안 구멍이 있습니다. 따라서 Spark 설정을 변경할 수 있는 권한은 반드시 믿을 수 있는 사람에게만 주어야 합니다.
🇺🇸 원문 (English)
Deserialization of Untrusted Data, Inclusion of Functionality from Untrusted Control Sphere vulnerability in Apache Software Foundation Apache Airflow Spark Provider.
When the Apache Spark provider is installed on an Airflow deployment, an Airflow user that is authorized to configure Spark hooks can effectively run arbitrary code on the Airflow node by pointing it at a malicious Spark server. Prior to version 4.1.3, this was not called out in the documentation explicitly, so it is possible that administrators provided authorizations to configure Spark hooks without taking this into account. We recommend administrators to review their configurations to make sure the authorization to configure Spark hooks is only provided to fully trusted users.
To view the warning in the docs please visit https://airflow.apache.org/docs/apache-airflow-providers-apache-spark/4.1.3/connections/spark.html
📍 영향받는 시스템
Apache Airflow Spark Provider 4.1.3 미만 버전
⚔️ 공격 벡터
권한이 있는 사용자가 악의적으로 구성된 Spark 서버 주소를 Spark hook 설정에 입력하여 원격 코드 실행
🛡️ 대응 방법
Spark hook 구성 권한을 완전히 신뢰할 수 있는 사용자에게만 제한하고, 최신 버전으로 업데이트 권장
🔧 검증 코드
출력된 버전이 4.1.3 미만인 경우 해당 취약점에 노출된 상태입니다.
pip show apache-airflow-providers-apache-spark | grep Version