Apache Impala 访问控制错误漏洞

CVE编号

CVE-2019-10084

利用情况

暂无

补丁情况

N/A

披露时间

2019-11-06

漏洞描述

Apache Impala是美国阿帕奇（Apache）软件基金会的一套大规模、分布式并行处理的数据库查询系统。该系统能够查询存储在Hadoop（大数据分析软件）中的HDFS（分布式文件系统）和HBase（数据库）中的PB级大数据。 在Apache Impala 2.7.0至3.2.0中，有权访问活动Impala查询或会话的ID的经过身份验证的用户可以通过特殊构造的请求与这些会话或查询进行交互，从而有可能绕过授权和审核机制。会话和查询ID是唯一且随机的，但尚未被记录或始终视为敏感机密。因此，它们可能会在日志或界面中公开。它们也不是由密码安全的随机数生成器生成的，因此容易受到随机数生成器攻击的攻击，这些攻击会根据过去的ID预测未来的ID。如果经过身份验证的攻击者能够利用未分配给攻击者的特权来劫持另一个经过身份验证的用户的会话或查询，则启用了Apache Sentry或Apache Ranger授权的Impala部署可能容易受到特权升级的攻击。启用审核日志记录的Impala部署可能容易受到错误的审核日志记录的影响，因为用户可以执行以其他经过身份验证的用户的名义记录的操作。进行攻击需要高度的技术复杂性，并且需要经过身份验证的用户才能访问Impala系统。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://lists.apache.org/thread.html/ee73dd8dc38ac3b3b132c79c9a02cf9524af9aa11190474c0ebd1f13@

参考链接
http://www.openwall.com/lists/oss-security/2019/11/04/1
https://lists.apache.org/thread.html/ee73dd8dc38ac3b3b132c79c9a02cf9524af9aa1...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	impala	*	From (including) 2.7.0	Up to (including) 3.2.0

CVSS3评分 7.5

• 攻击路径 网络
• 攻击复杂度 高
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-311 敏感数据加密缺失 CWE-330 使用不充分的随机数 CWE-384 会话固定 CWE-532 通过日志文件的信息暴露 CWE-732 关键资源的不正确权限授予