PT-2025-42275
CVE-2025-55039
·
تاريخ النشر
2025-10-15
·
تاريخ التحديث
2025-10-20
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Spark الأقدم من 3.4.4
إصدارات Apache Spark الأقدم من 3.5.2
إصدارات Apache Spark الأقدم من 4.0.0
الوصف
تستخدم إصدارات Apache Spark الأقدم من 3.4.4 و3.5.2 و4.0.0 خوارزمية تشفير شبكة قياسية غير آمنة للاتصال RPC بين العقد. وعلى وجه التحديد، عندما يتم تعيين
spark.network.crypto.enabled على القيمة true، ولكن لم يتم تكوين spark.network.crypto.cipher بشكل صريح، فإن Spark يفترض افتراضيًا استخدام AES في وضع CTR (AES/CTR/NoPadding)، مما يوفر تشفيرًا بدون مصادقة. وهذا يسمح لمهاجم من نوع «الرجل في الوسط» (man-in-the-middle) بتعديل حركة مرور RPC المشفرة دون أن يتم اكتشافه عن طريق عكس البتات في النص المشفر، مما قد يعرض رسائل النبض (heartbeat) أو بيانات التطبيق للخطر ويؤثر على سلامة سير عمل Spark. تُستخدم المتغير spark.network.crypto.cipher لتعيين خوارزمية التشفير.التوصيات
قم بتعيين
spark.network.crypto.cipher على AES/GCM/NoPadding لتمكين التشفير المصادق عليه.قم بتمكين تشفير SSL عن طريق تعيين
spark.ssl.enabled على true، مما يوفر أمان نقل أكثر قوة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾