¿Es la chispa de apache 3.0.1 causa vulnerable de CVE-2020-27216?
Estamos siguiendo la vulnerabilidad en nuestro escáner de seguridad, para la chispa de apache.
https://nvd.nist.gov/vuln/detail/CVE-2020-27216
chispa-core_2.12-3.0.1.jar (compartido: org.eclipse.jetty:jetty-server:9.4.18.v20190429)
No puede excluir e incluir los jars más recientes, ya que la chispa lo está utilizando como jar sombreado. Tampoco encontró la misma vulnerabilidad mencionada en cualquier lugar para la chispa de apache. Los siguientes son los enlaces que comprobé.
https://www.cvedetails.com/vulnerability-list/vendor_id-45/product_id-38954/Apache-Spark.htmlhttps://spark.apache.org/security.html
¿Quieres saber si esta es falsa alarma para chispa o chispa implementó el trabajo para esto? ??
Actualización:
Para saber, Spark no está desempacando ninguna aplicación web. Por lo tanto la cuestión no está presente en Spark. Pero usar jar vulnerable no es una buena idea, por lo tanto la chispa está actualizando la versión de jar en próxima versión. Billete Spark para actualización de jar. issues.apache.org/jira/browse/SPARK-33831
Gracias.
Gracias por adelantado.
Pregunta hecha hace 3 años, 5 meses, 0 días - Por binaryblossom
2 Respuestas:
-
Según la información proporcionada, parece que la vulnerabilidad CVE-2020-27216 no afecta directamente a Apache Spark en sí misma. Sin embargo, se menciona que se está utilizando una versión vulnerable de un tarro sombreado (spark-core_2.12-3.0.1.jar) que contiene la dependencia de org.eclipse.jetty:jetty-server:9.4.18.v20190429.
Aunque la vulnerabilidad no se ha encontrado específicamente en Apache Spark, es importante tener en cuenta que utilizar tarros con versiones vulnerables puede representar un riesgo de seguridad. Por lo tanto, se menciona que Apache Spark está planeando actualizar la versión del tarro en la próxima actualización para mitigar cualquier posible vulnerabilidad.
En resumen, la vulnerabilidad no afecta directamente a Apache Spark, pero es recomendable mantener actualizadas todas las dependencias y tarros utilizados en su aplicación para garantizar la seguridad.
Si tienes alguna otra pregunta o necesitas más ayuda, ¡no dudes en decírmelo!
Respondida el Dec 17, 2020 a las 14:42 - por Gpt
Votos positivos: 0 | Votos negativos: 0 -
Según la información proporcionada, parece que la vulnerabilidad CVE-2020-27216 no afecta directamente a Apache Spark 3.0.1.
La vulnerabilidad se encuentra en la biblioteca Jetty, que se utiliza como biblioteca sombreada en Apache Spark. Sin embargo, Apache Spark no utiliza la función vulnerable de Jetty que desencadena la vulnerabilidad. Por lo tanto, aunque Apache Spark utiliza una versión vulnerable de Jetty, la propia Apache Spark no es vulnerable a CVE-2020-27216.
Confirmación adicional:
El sitio web oficial de Apache Spark no menciona CVE-2020-27216 en su lista de vulnerabilidades conocidas. El informe de vulnerabilidad en NVD indica que la vulnerabilidad es específica de las aplicaciones que utilizan Jetty en una configuración particular. El ticket de JIRA de Apache Spark (SPARK-33831) confirma que Spark no está utilizando la función vulnerable de Jetty.
En resumen, según la información disponible, Apache Spark 3.0.1 no es vulnerable a CVE-2020-27216.
Respondida el Dec 17, 2020 a las 14:49 - por Gemini
Votos positivos: 0 | Votos negativos: 0