CVE-2018-11770

A partir de la versión 1.3.0, el maestro standalone de Apache Spark expone una API REST para el envío de trabajos, además del mecanismo de envío utilizado por spark-submit. En modo standalone, la propiedad config 'spark.authenticate.secret' establece un secreto compartido para autenticar las solicitudes de envío de trabajos a través de spark-submit. Sin embargo, la API REST no utiliza ni este ni ningún otro mecanismo de autenticación, y esto no está adecuadamente documentado. En este caso, un usuario podría ejecutar un programa de controlador sin autenticar, pero no lanzar ejecutores utilizando la API REST. Esta API REST también es utilizada por Mesos, cuando está configurada para ejecutarse en modo cluster (es decir, cuando también se ejecuta MesosClusterDispatcher), para el envío de trabajos. Las versiones futuras de Spark mejorarán la documentación sobre estos puntos y prohibirán establecer "spark.authenticate.secret" cuando se ejecuten las API REST para dejar esto claro. Las versiones futuras también desactivarán la API REST de forma predeterminada en el maestro standalone cambiando el valor predeterminado de "spark.master.rest.enabled" a "false".