大工网安告[2021]033号

一、情况分析

近日，Hadoop Yarn RPC未授权访问漏洞在野利用，Hadoop作为一个分布式计算应用框架，种类功能繁多，而Hadoop Yarn作为其核心组件之一，负责将资源分配至各个集群中运行各种应用程序，并调度不同集群节点上的任务执行。Hadoop Yarn RPC未授权访问使得攻击者无需认证即可通过RPC通信执行恶意命令。 Hadoop Yarn RPC未授权访问漏洞存在于Hadoop Yarn中负责资源管理和任务调度的ResourceManager，成因是该组件为用户提供的RPC服务默认情况下无需认证即可访问。

二、影响范围

Hadoop Yarn : 全部版本

三、处置建议

Apache Hadoop 官方建议用户开启 Kerberos 认证。