1、组件介绍

Hadoop Yarn作为Hadoop核心组件之一，负责将资源分配至各个集群中运行各种应用程序，并调度不同集群节点上的任务执行。

2、漏洞描述

2021年11月16日，深信服安全团队监测到一则Hadoop Yarn组件存在未授权访问漏洞的信息，漏洞编号：暂无，漏洞威胁等级：高危。

该漏洞是由于Hadoop Yarn默认对外开放RPC服务，且缺乏身份验证，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码执行攻击，最终获取服务器最高权限。

Hadoop是一个开源框架，允许使用简单的编程模型在跨计算机集群的分布式环境中存储和处理大数据。全球有数万Hadoop服务，可能受漏洞影响的资产广泛分布于世界各地，国内省份中，北京、广东、浙江等省市接近 70%，今年曝出的漏洞利用难度简单，涉及用户量大，导致漏洞影响力还是很大。

目前受影响的Hadoop版本：

Hadoop所有版本

1、官方修复建议

当前官方暂未发布漏洞修复方案，建议受影响的用户及时关注官方的安全补丁。链接如下：

https://hadoop.apache.org/docs/current/hadoop-project-dist/hadoop-common/SecureMode.html#Configuration

2、临时修复建议

1. 根据Apache Hadoop官方提供的建议，开启Kerberos认证，相关配置设置请参考如下链接：

   https://hadoop.apache.org/docs/current/hadoop-project-dist/hadoop-common/SecureMode.html#Configuration 

2. 设置Hadoop RPC服务端口仅对可信地址开放。