Apache Hadoop内存破坏漏洞

CVE编号

CVE-2012-4449

利用情况

暂无

补丁情况

N/A

披露时间

2017-10-31

漏洞描述

Apache Hadoop是美国阿帕奇（Apache）软件基金会的一套开源的分布式系统基础架构，它能够对大量数据进行分布式处理，并具有高可靠性、高扩展性、高容错性等特点。 Apache Hadoop 0.23.4之前的版本、1.0.4之前的1.x版本和2.0.2之前的2.x版本中存在安全漏洞，该漏洞源于程序生成的令牌密码长度过短。攻击者可借助暴力破解攻击利用该漏洞破解密钥。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：
http://mail-archives.apache.org/mod_mbox/hadoop-general/201210.mbox/%3CCA+z3+9FYdPmzBEaMZ71SUqzRx=eU=o4mSHUsbrpzgR9X_F1c0Q@mail.gmail.com%3E

参考链接
http://mail-archives.apache.org/mod_mbox/hadoop-general/201210.mbox/%3CCA+z3+...
https://www.cloudera.com/documentation/other/security-bulletins/topics/csb_to...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	hadoop	*		Up to (including) 0.23.3
	运行在以下环境
	应用	apache	hadoop	1.0.0	-
	运行在以下环境
	应用	apache	hadoop	1.0.1	-
	运行在以下环境
	应用	apache	hadoop	1.0.2	-
	运行在以下环境
	应用	apache	hadoop	1.0.3	-
	运行在以下环境
	应用	apache	hadoop	2.0.0	-
	运行在以下环境
	应用	apache	hadoop	2.0.1	-
	运行在以下环境
	应用	apache	hadoop	2.0.2	-

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-327 使用已被攻破或存在风险的密码学算法