「Apache Spark」のログ処理に脆弱性 - アップデートで修正

分散データ処理エンジン「Apache Spark」の開発チームは、脆弱性を解消するセキュリティアップデートをリリースした。利用者に更新を呼びかけている。

「Spark History Server」のウェブユーザーインタフェースにおけるイベントログの処理に起因し、任意のコード実行が可能となる脆弱性「CVE-2025-54920」が明らかとなったもの。

イベントログのJSONデータにおけるデシリアライズ処理に不備があり、攻撃者がログのディレクトリに対して書き込む権限を持つ場合、悪意あるコードを挿入することで、任意のコードを実行することが可能となる。

開発チームでは重要度を4段階中もっとも低い「低（Low）」とした。一方、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.8」、重要度を4段階中2番目にあたる「高（High）」と評価している。

同脆弱性は「Apache Spark 4.0.1」「同3.5.7」で修正された。開発チームではこれらバージョン以降へ更新するよう利用者に呼びかけている。

（Security NEXT - 2026/03/27 ）ツイート