CVE-2025-54920

إصدارات Apache Spark السابقة للإصدارين 3.5.7 و4.0.1

تحتوي إصدارات Apache Spark 3.5.4 والإصدارات الأقدم منها على مشكلة تتعلق بتنفيذ التعليمات البرمجية في واجهة المستخدم الويب الخاصة بـ Spark History. ويرجع ذلك إلى عملية إزالة التسلسل التي يقوم بها مكتبة Jackson لبيانات سجل الأحداث، والتي تتسم بمرونة مفرطة. يمكن للمهاجم الذي لديه صلاحية الكتابة في دليل سجلات أحداث Spark حقن حمولات JSON ضارة. تؤدي هذه الحمولات إلى إزالة التسلسل لفئات عشوائية، مما قد يسمح بتنفيذ الأوامر على المضيف الذي يشغل خادم سجلات Spark (Spark History Server). تنبع هذه الثغرة الأمنية من استخدام إزالة التسلسل متعدد الأشكال في مكتبة Jackson مع @JsonTypeInfo.Id.CLASS على كائنات SparkListenerEvent، مما يسمح للمهاجمين بتحديد أسماء فئات عشوائية داخل JSON الخاص بالأحداث. وهذا يتيح إنشاء مثيلات لفئات غير مقصودة، مثل org.apache.hive.jdbc.HiveConnection، والتي يمكنها بعد ذلك إجراء مكالمات شبكية أو إجراءات ضارة أخرى أثناء عملية إزالة التسلسل. يمكن للمهاجم استغلال هذه الثغرة عن طريق حقن محتوى JSON مُعد خصيصًا في ملفات سجلات أحداث Spark، والتي يقوم خادم السجل (History Server) بإزالة تسلسلها عند بدء التشغيل أو تحميل سجلات الأحداث. على سبيل المثال، يمكن للمهاجم إجبار خادم السجل (History Server) على فتح اتصال JDBC بخادم بعيد يتحكم فيه المهاجم، مما يُظهر إمكانية حقن الأوامر عن بُعد. يمكن للمهاجم الذي يمتلك حق الوصول للكتابة إلى سجلات أحداث Spark تنفيذ تعليمات برمجية تعسفية على الخادم الذي يعمل عليه خادم السجل (History Server)، مما قد يعرض النظام بأكمله للخطر.

الترقية إلى إصدار Apache Spark