Alta

Prior to Spark 2.3.3, in certain situations Spark would write user data to local disk unencrypted, even if spark.io.encryption.enabled=true. This includes cached blocks that are fetched to disk (contr

Publicada: 07.08.2019
Actualizado: 11.10.2026 12:20

Prior to Spark 2.3.3, in certain situations Spark would write user data to local disk unencrypted, even if spark.io.encryption.enabled=true. This includes cached blocks that are fetched to disk (controlled by spark.maxRemoteBlockSizeFetchToMem); in SparkR, using parallelize; in Pyspark, using broadcast and parallelize; and use of python udfs.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.apache.spark:spark-core_2.11	< 2.3.3	2.3.3
Python (PyPI)	pyspark	< 2.3.3	2.3.3

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE): CWE-312
Plataforma: Java / Kotlin (Maven), Python (PyPI)
Paquete: org.apache.spark:spark-core_2.11, pyspark
Publicada: 07.08.2019
Actualizado: 11.10.2026 12:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-fp5j-3fpf-mhj5 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2019-114 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: pyspark

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (12) en el archivo

Entradas en total: 12
Primera → última: 09.2017 09.2026
Sin corrección: 0
Explotada en ataques: 1

Distribución por gravedad

Crítica 2
Alta 5
Media 5

Divulgaciones por año

2017: 1
2018: 1
2019: 2
2020: 1
2021: 0
2022: 3
2023: 2
2024: 0
2025: 1
2026: 1

02.05.2023

** UNSUPPORTED WHEN ASSIGNED ** The Apache Spark UI offers the possibility to enable ACLs via the configuration option spark.acls.enable. With an authentication filter, this checks whether a user has

Alta · 8.8 CVE-2023-32007 < 3.2.2 3.2.2
17.04.2023

In Apache Spark versions prior to 3.4.0, applications using spark-submit can specify a 'proxy-user' to run as, limiting privileges. The application can execute code with the privileges of the submitti

Crítica · 9.9 CVE-2023-22946 < 3.4.0 3.4.0
18.07.2022

Apache Spark UI can allow impersonation if ACLs enabled

Alta · 8.8 Explotada en ataques CVE-2022-33891 < 3.1.3, >= 3.2.0, < 3.2.2 3.1.3, 3.2.2
10.03.2022

Authentication Bypass by Capture-replay in Apache Spark

Alta · 7.5 CVE-2021-38296 < 3.1.3 3.1.3
23.06.2020

In Apache Spark 2.4.5 and earlier, a standalone resource manager's master may be configured to require authentication (spark.authenticate) via a shared secret. When enabled, however, a specially-craft

Crítica · 9.8 CVE-2020-9480 < 2.4.6 2.4.6
07.08.2019

Prior to Spark 2.3.3, in certain situations Spark would write user data to local disk unencrypted, even if spark.io.encryption.enabled=true. This includes cached blocks that are fetched to disk (contr esta entrada

Alta · 7.5 CVE-2019-10099 < 2.3.3 2.3.3
13.09.2017

Apache Spark Deserialization of Untrusted Data vulnerability

Alta · 7.8 CVE-2017-12612 < 2.1.2 2.1.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación