CVE-2026-49845

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.5%
CWE: CWE-94
KEV Durumu: Hayır

Yayım tarihi: 25 Ağustos 2026

Etkilenen: apache hive

Apache Hive 4.2.1'den önceki tüm platformlardaki Hive Metastore'da doğrudan SQL bölüm-adı çözümü中的 SQL enjeksiyonu, Hive Metastore API'erine erişim sağlayan kimliği doğrulanmış kullanıcıların, doğrudan SQL etkinleştirildiğinde (varsayılan) metastore RPC isteklerinde oluşturulmuş bölüm adları aracılığıyla istenen olmayan bölüm meta verilerini (istatistik güncellemeleri, kısaltma hedefleri ve dosya meta veri önbelleği işlemleri dahil) okumalarına, değiştirmelerine veya etkilemelerine olanak tanır. Kullanıcıların bu sorunu çözen 4.2.1 sürümüne yükseltmeleri önerilir. Sorun hakkında detaylar: Birkaç Hive Metastore RPC'si, doğrudan SQL yardımcıları aracılığıyla tam bölüm adı (PART_NAME) ile bölümleri çözer. Bu yollarda, istemci tarafından sağlanan bölüm adları, bağlama parametreleri yerine dize birleştirmesi (DirectSqlUpdatePart.quoteString() → '...') kullanarak SQL'e gömülür. Tek bir tırnak işareti (ve oluşturulmuş SQL) içeren bir bölüm adı, oluşturulan WHERE koşulu değiştirilerek, bir bölüme yönelik olarak tasarlanan aramaların ek satırları eşleştirmesine neden olabilir. Bu, metastore.try.direct.sql etkinleştirildiğinde (varsayılan: true) okumaları, istatistik güncellemelerini, kısaltma hedeflerini, meta veri önbelleği hedeflerini ve ilgili işlemleri etkileyebilir. Doğrudan SQL etkinleştirildiğinde, bir hedef tabloya (doğrudan veya Hive/diğer istemciler aracılığıyla) karşı Hive Metastore bölüm-adı API'lerini çağırmaya能力 sahip kimliği doğrulanmış veya ağ-trusted bir çağırıcı bu saldırıyı gerçekleştirebilir. Ayrıca, etki principalmente bir tablo ve bölüm hedeflemesi içindedir (bir tablodaki yanlış bölümleri okumak/güncellemek/kısaltmak/önbelleğe almak), bu hata alone ile keyfi çapraz-veritabanı erişimi değil.

Orijinal açıklama (İngilizce)

SQL injection in Hive Metastore direct SQL partition-name resolution in Apache Hive before 4.2.1 on all platforms allows authenticated users with access to Hive Metastore APIs to read, modify, or affect unintended partition metadata (including statistics updates, truncation targets, and file-metadata cache operations) via crafted partition names in metastore RPC requests when direct SQL is enabled (the default). Users are recommended to upgrade to version 4.2.1, which fixes this issue. Details about the issue: Several Hive Metastore RPCs resolve partitions by full partition name (PART_NAME) through direct-SQL helpers. In those paths, client-supplied partition names are embedded into SQL using string concatenation (DirectSqlUpdatePart.quoteString() → '...') instead of bind parameters. A partition name containing a single quote (and crafted SQL) can alter the generated WHERE clause so that lookups intended for one partition match additional rows. That can affect reads, stats updates, truncate targets, metadata-cache targets, and related operations when metastore.try.direct.sql is enabled (default: true). An authenticated or network-trusted caller with the ability to invoke Hive Metastore partition-name APIs against a target table (directly or via Hive/other clients), when direct SQL is enabled can perform this attack. Also, the impact is mainly within table & partition targeting (read/update/truncate/drop/cache the wrong partitions in a table they can reference), not arbitrary cross-database access via this bug alone.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.