CVE-2022-33891 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Apache Spark UI 的 ACL 功能存在输入验证缺陷。 💥 **后果**：远程攻击者可构造恶意 URL，在目标系统上执行任意 **OS 命令**。 ⚠️ **核心**：典型的 **命令注入 (Command Injection)** 风险。

🔍 **CWE**：CWE-78 (OS Command Injection)。 🐛 **缺陷点**：Spark UI 中 **ACL 功能** 对用户输入处理不当。 📉 **根源**：缺乏严格的输入过滤或转义机制。

🏢 **厂商**：Apache Software Foundation。 📦 **产品**：Apache Spark。 📅 **影响版本**： - 3.0.3 及更早版本 - 3.1.1 至 3.1.2 - 3.2.0 至 3.2.1 *(注：需结合具体配置判断是否受影响)*

👑 **权限**：以 **Spark 服务运行用户** 权限执行命令。 📂 **数据**：可读取/修改服务器文件，甚至控制整个节点。 🌐 **范围**：若配置不当，可能实现 **未授权** 远程代码执行 (RCE)。

🔑 **认证**：通常无需认证（未授权）。 ⚙️ **配置门槛**：需开启 ACL 功能 (`spark.acls.enable=TRUE`)。 🎯 **利用点**：访问 `/api/v1/applications` 或类似接口，注入 `doAs` 参数。 📉 **难度**：**低**，有现成 PoC，自动化脚本一键利用。

🛠️ **PoC 丰富**：GitHub 上有多个 Python PoC（如 W01fh4cker, HuskyHacks 等）。 🔥 **在野利用**：已集成至 **Metasploit** 模块。 📝 **特征**：利用 `doAs=` 参数进行 DNSLog 或命令回显验证。

🔎 **扫描特征**：检测 URL 中是否包含 `doAs=` 参数。 📡 **DNSLog 检测**：发送包含 DNS 查询的命令，观察日志回显。 📊 **资产排查**：扫描开放 8080 端口的 Spark UI 服务，验证是否开启 ACL。

🛡️ **官方修复**：是的，官方已发布修复版本。 📦 **建议版本**：升级至 **3.1.3**、**3.2.2** 或 **3.3.0** 及以上。 📜 **参考**：Apache 官方安全公告及邮件列表讨论。

🚫 **临时规避 1**：关闭 ACL 功能 (`spark.acls.enable=FALSE`)。 🚫 **临时规避 2**：限制 Spark UI 端口（8080）的 **网络访问**，仅允许内网信任 IP。 🚫 **临时规避 3**：移除 `doAs` 参数的支持（若代码可修改）。

🔥 **优先级**：**高危 (Critical)**。 ⚡ **紧急度**：**立即处理**。 💡 **建议**：由于 PoC 公开且易利用，建议 **立即升级** 或 **实施网络隔离**，防止被自动化脚本批量扫描利用。