怎样阻止某些合法用户恶意执行一些非法作业呢？flink框架本身能提供哪些保护手段呢？
今天在公司遇到一件蹊跷的事情，我之前用于session模式提交作业的flink session集群成为某个别有用心的人运行挖矿机的温床。 表面上他提交了一个flink作业jar包，该jar包经过反编译查看到里面执行了一些shell命令从github外网下载诸好C3Pool等一些挖矿脚本运行， 幸好是测试环境，幸好信息安全部门及时扫描发现该漏洞并定位到有问题的作业jar包。 除了将 web.submit.enabled 参数设置成false外，因为有flink sql无法覆盖的场景， 我们并不能阻止用户提交合法streaming api形式的作业，那么要怎样阻止某些合法用户恶意执行一些非法作业呢？flink框架本身能提供哪些保护手段呢？*来自志愿者整理的flink邮件归档
写回答
-
During a security analysis of Flink, I noticed that Flink allows for remote code execution, is this an issue?
Apache Flink is a framework for executing user-supplied code in clusters. Users can submit code to Flink processes, which will be executed unconditionally, without any attempts to limit what code can run. Starting other processes, establishing network connections or accessing and modifying local files is possible.
Historically, we’ve received numerous remote code execution vulnerability reports, which we had to reject, as this is by design.
We strongly discourage users to expose Flink processes to the public internet. Within company networks or “cloud” accounts, we recommend restricting access to a Flink cluster via appropriate means.
Flink Security文档的说明。这个不是flink框架本身解决的问题，是安全团队和诸如漏扫、威胁检测工具应当完成的工作*来自志愿者整理的flink邮件归档
2021-12-08 10:07:39赞同 展开评论 打赏
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
