Databricks
·
保护Databricks集群初始化脚本的安全性
💡
原文英文，约1800词，阅读约需7分钟。
📝
内容提要
Databricks发现了一个潜在的特权升级问题，可能允许认证的低特权用户提升特权并获得组织内同一工作区边界内其他集群的管理员级别访问权限。Databricks立即禁用了使用已弃用的init脚本类型创建新工作区，并宣布了所有已弃用的init脚本类型的严格终止使用期限，以进一步加速迁移到更安全的替代方案。Databricks还与未遵循早期建议禁用已弃用的init脚本的其余客户进行了联系，并帮助他们迁移到更安全的替代方案。他们增加了对集群范围init脚本存储在工作区文件中的支持，这是一种更安全的替代方案，最近已经普遍提供。客户可以按照提供的指导和建议增加其Databricks部署的安全性并减轻安全问题。
🎯
关键要点
- Databricks发现了一个潜在的特权升级问题，可能允许低特权用户提升权限。
- 该问题需要攻击者拥有有效的认证账户，并且工作区启用了遗留的全局初始化脚本。
- Databricks立即禁用了使用已弃用的初始化脚本类型创建新工作区。
- 宣布所有已弃用的初始化脚本类型的严格终止使用期限，以加速迁移到更安全的替代方案。
- 增加了对集群范围初始化脚本存储在工作区文件中的支持，这是更安全的替代方案。
- 建议客户立即禁用遗留的全局初始化脚本，以关闭潜在的攻击向量。
- 客户应将遗留脚本迁移到新的全局初始化脚本类型，并禁用遗留版本。
- 研究表明，低特权用户能够通过远程代码执行打破Databricks计算集群之间的隔离。
- 攻击者可以访问工作区中的所有文件和秘密，并提升权限至工作区管理员。
- 遗留的全局初始化脚本在2020年已被弃用，但在所有工作区中默认启用，仍可被攻击利用。
➡️
