阿里云首页> 安全公告> 【漏洞预警】Hadoop Yarn RPC未授权访问漏洞

【漏洞预警】Hadoop Yarn RPC未授权访问漏洞

2021年11月15日,阿里云应急响应中心监测到 Hadoop Yarn RPC未授权访问漏洞在野利用事件。


漏洞描述

Hadoop Yarn作为Hadoop核心组件之一,负责将资源分配至各个集群中运行各种应用程序,并调度不同集群节点上的任务执行。近日阿里云应急响应中心监测到 Hadoop Yarn RPC未授权访问漏洞在野利用事件。Hadoop Yarn默认对外开放RPC服务,攻击者可利用RPC服务执行任意命令,控制服务器。同时由于Hadoop Yarn RPC服务访问控制机制开启方式与REST API不一样,因此即使在 REST API有授权认证的情况下,RPC服务所在端口仍然可以未授权访问。阿里云应急响应中心提醒 Apache Hadoop 用户尽快采取安全措施阻止漏洞攻击。


漏洞评级

Hadoop Yarn RPC未授权访问漏洞 高危


影响版本

Apache Hadoop 所有版本


安全建议

1、Apache Hadoop官方建议用户开启Kerberos认证,相关配置如下

<property>
    <name>hadoop.security.authentication</name>
    <value>kerberos</value>
    <final>false</final>
    <source>core-site.xml</source>
</property>...
<property>
    <name>hadoop.rpc.protection</name>
    <value>authentication</value>
    <final>false</final>
    <source>core-default.xml</source>
</property>


2、利用阿里云安全组功能,设置 Hadoop RPC服务所在端口仅对可信地址开放。


相关链接

1、https://hadoop.apache.org/docs/current/hadoop-project-dist/hadoop-common/SecureMode.html#Configuration

2、https://hadoop.apache.org/docs/current/hadoop-yarn/hadoop-yarn-site/YARN.html


阿里云云安全中心应急漏洞模块已支持对该漏洞一键检测

阿里云云防火墙已可防御此漏洞攻击


我们会关注后续进展,请随时关注官方公告。

如有任何问题,可随时通过工单联系反馈。


阿里云应急响应中心

2021.11.15