1. 通告信息

近日，安识科技A-Team团队监测到Apache官方发布安全公告，修复了Apache Hadoop YARN中的一个远程代码执行漏洞（CVE-2021-25642）。

对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。

2. 漏洞概述

Apache Hadoop YARN （Yet Another Resource Negotiator，另一种资源协调者）是一种新的 Hadoop 资源管理器，它是一个通用资源管理系统和调度平台。

ZKConfigurationStore是Apache Hadoop YARN的CapacityScheduler可选使用的，由于ZKConfigurationStore可在未经验证的情况下反序列化从ZooKeeper获得的数据，因此能够访问ZooKeeper的威胁者可以利用此漏洞以YARN用户身份运行任意命令。

3. 漏洞危害

漏洞名称：Apache Hadoop YARN远程代码执行漏洞

CVE编号：CVE-2021-25642

ZKConfigurationStore是Apache Hadoop YARN的CapacityScheduler可选使用的，由于ZKConfigurationStore可在未经验证的情况下反序列化从ZooKeeper获得的数据，因此能够访问ZooKeeper的威胁者可以利用此漏洞以YARN用户身份运行任意命令。

4. 影响版本

目前受影响的 Apache Hadoop产品版本：

2.9.0 <= Apache Hadoop <= 2.10.1

3.0.0-alpha <= Apache Hadoop <= 3.2.3

3.3.0 <= Apache Hadoop <= 3.3.3

5. 解决方案

目前此漏洞已经修复，受影响用户可升级到Apache Hadoop 2.10.2、3.2.4、3.3.4 或更高版本