CVE-2022-25168 in Hadoop
الملخص
بحسب VulDB • 30/05/2026
لا تقوم واجهة برمجة التطبيقات FileUtil.unTar(File, File) في Apache Hadoop بتجنب (escape) اسم ملف الإدخال قبل تمريره إلى غلاف الأوامر (shell). يمكن لمهاجم حقن أوامر عشوائية. يتم استخدام هذه الوظيفة فقط في Hadoop 3.3 داخل دالة InMemoryAliasMap.completeBootstrapTransfer، والتي لا يتم تشغيلها إلا بواسطة مستخدم محلي. وقد استُخدمت في Hadoop 2.x لتوطين YARN (yarn localization)، مما يتيح تنفيذ الأكواد البرمجية عن بُعد (RCE). كما تُستخدم في Apache Spark، من خلال أمر SQL ADD ARCHIVE. ونظراً لأن أمر ADD ARCHIVE يضيف ملفات تنفيذية جديدة إلى مسار الفئة (classpath)، فإن القدرة على تنفيذ نصوص غلاف الأوامر لا تمنح المتصل صلاحيات جديدة. SPARK-38305. "فحص وجود الملف قبل فك ضغطه/فك ضغطه المضغوط" (Check existence of file before untarring/zipping)، والذي تم تضمينه في الإصدارات 3.3.0، و3.1.4، و3.2.2، يمنع تنفيذ أوامر غلاف الأوامر، بغض النظر عن إصدار مكتبات Hadoop المستخدم. يجب على المستخدمين الترقية إلى Apache Hadoop 2.10.2، أو 3.2.4، أو 3.3.3 أو أحدث (بما في ذلك HADOOP-18136).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.