[0day-rubbish] StreamSets Transformer 3.17.0 在 auth-mode 为 none 且 fallback 启用时，未沙箱化的 ScalaDTransform 执行会访问容器根目录（8.1 主版本）
由 disclosure 通过 Fulldisclosure 于 10 月 6 日发布：Rubbish Research Team 公开披露了 StreamSets Transformer 中的一个漏洞。StreamSets Transformer 是 StreamSets Inc.（随后被 IBM 收购）提供的基于 Spark 引擎的数据管道平台。该漏洞已在版本 3.17.0 中经官方容器镜像验证。类型：failing-open 认证加上未沙箱化的代码注入。在 Web 层级，涉及 CWE-306 和 CWE-1188；在授权侧涉及 CWE-285：当有效的 http.authentication 值……
