Especialistas Identificam Novas Vulnerabilidades nos Serviços Azure HDInsight Spark, Kafka e Hadoop
Foram descobertas três novas vulnerabilidades de segurança nos serviços Apache Hadoop, Kafka e Spark do Azure HDInsight. Essas falhas podem ser exploradas para obter escalonamento de privilégios e criar uma condição de negação de serviço por expressão regular (ReDoS).
As vulnerabilidades afetam qualquer usuário autenticado nos serviços Azure HDInsight, como Apache Ambari e Apache Oozie. As falhas específicas incluem uma injeção de entidade externa (XXE) no agendador de fluxo de trabalho Apache Oozie, resultando em escalonamento de privilégios (CVE-2023-36419), e uma injeção de conectividade de banco de dados Java (JDBC) no Apache Ambari, também resultando em escalonamento de privilégios (CVE-2023-38156). Além disso, há uma vulnerabilidade ReDoS no Apache Oozie do Azure HDInsight.
As duas falhas de escalonamento de privilégios podem ser exploradas por um atacante autenticado no cluster HDI para obter privilégios de administrador. A falha XXE permite a leitura de arquivos no nível raiz, enquanto a falha de injeção JDBC pode ser usada para obter um shell reverso como root.
A vulnerabilidade ReDoS no Apache Oozie é causada pela falta de validação adequada de entrada, permitindo que um atacante solicite uma ampla gama de IDs de ação e cause uma operação de loop intensivo, levando a uma negação de serviço (DoS).
A Microsoft lançou correções para essas vulnerabilidades como parte das atualizações liberadas em 26 de outubro de 2023. Esse desenvolvimento ocorre após a Orca detalhar oito falhas no serviço de análise de código aberto que poderiam ser exploradas para acesso a dados, sequestro de sessão e entrega de payloads maliciosos. Em dezembro de 2023, a Orca também destacou um “potencial risco de abuso” afetando clusters Google Cloud Dataproc que se aproveitam da falta de controles de segurança nas interfaces web do Apache Hadoop e configurações padrão ao criar recursos para acessar qualquer dado no Sistema de Arquivos Distribuído do Apache Hadoop (HDFS) sem autenticação.