Apache Spark存在CVE-2022-33891命令注入漏洞，影响3.0.3及更早、3.1.1至3.1.2、3.2.0至3.2.1版本。启用ACL功能后，攻击者可通过UI的doAs参数注入任意用户名，经ShellBasedGroupsMappingProvider拼接执行Unix命令，实现任意命令执行。修复需升级版本、关闭ACL或自定义过滤。