传递性 CVE 修复
许多依赖项已升级以解决最近的 CVE。许多 CVE 实际上无法通过 Hadoop 利用，因此这项工作的很大一部分只是尽职调查。但是，所有库都在类路径上的应用程序可能存在漏洞，并且升级还应减少误报安全扫描程序报告的数量。
我们无法将每个依赖项都升级到最新版本。其中一些更改在根本上不兼容。如果您对特定库的状态有任何疑问，请查阅 Apache JIRA 问题跟踪器，以查看是否已提交问题、是否已讨论过有问题的库，以及管道中是否已有修复程序。请不要在未首先搜索任何现有问题的情况下提交有关依赖项 X.Y.Z 存在 CVE 的新 JIRA
作为一个开源项目，我们始终欢迎该领域的贡献，尤其是在测试活动分支、测试这些分支下游的应用程序以及更新的依赖项是否触发回归方面。
安全公告
Hadoop HDFS 是一个分布式文件系统，允许远程调用者读取和写入数据。
Hadoop YARN 是一个分布式作业提交/执行引擎，允许远程调用者将任意工作提交到集群中。
除非 Hadoop 集群部署了 使用 Kerberos 进行调用者身份验证，否则任何可以访问服务器网络的人都可以不受限制地访问数据，并且可以在系统中运行他们想要的任何代码。
在生产环境中，通常有三种部署模式，在谨慎的情况下，这些模式可以保证数据和计算资源的私密性。1. 物理集群：配置 Hadoop 安全性，通常绑定到企业 Kerberos/Active Directory 系统。好。1. 云：具有私有 VLAN 和安全性的瞬态或持久单用户/租户集群。好。考虑使用 Apache Knox 来管理对集群的远程访问。1. 云：具有私有 VLAN 且完全没有安全性的瞬态单用户/租户集群。需要谨慎的网络配置，因为这是保护集群的唯一方法。考虑使用 Apache Knox 来管理对集群的远程访问。
如果您在云中部署 Hadoop 集群，但没有安全性，也没有配置 VLAN 来限制对受信任用户的访问，则您隐式地与任何具有网络访问权限的人共享您的数据和计算资源。
如果您以这种方式部署不安全的集群，则端口扫描器不可避免地会找到它并提交加密挖掘作业。如果发生这种情况，请不要将其报告为 CVE 或安全问题：这是完全可以预测的。如果您想让您的集群保持独占性，请保护您的集群。
最后，如果您使用的是由其他人部署/管理的 Hadoop 服务，请确定他们的产品提供了哪些安全性，并确保其满足您的要求。
入门
Hadoop 文档包含您开始使用 Hadoop 所需的信息。从 单节点设置 开始，它向您展示如何设置单节点 Hadoop 安装。然后转到 集群设置，了解如何设置多节点 Hadoop 安装。
在生产环境中部署 Hadoop 之前，请阅读 安全模式下的 Hadoop，并按照其说明保护您的集群。