CVE-2026-49845

Beschreibung

SQL-Injection in Hive Metastore direkte SQL-Partitionsnamenauflösung in Apache Hive vor 4.2.1 auf allen Plattformen ermöglicht es authentifizierten Benutzern mit Zugriff auf Hive Metastore APIs, unbeabsichtigte Partitionsmetadaten (einschließlich Statistikaktualisierungen, Verkürzungsziele und Dateimetadaten-Cache-Operationen) über gestaltete Partitionsnamen in Metastore RPC-Anforderungen zu lesen, zu ändern oder zu beeinflussen, wenn direktes SQL aktiviert ist (Standard). Benutzern wird empfohlen, auf Version 4.2.1 zu aktualisieren, wodurch dieses Problem behoben wird. Details zum Problem: Mehrere Hive Metastore RPCs lösen Partitionen nach dem vollständigen Partitionsnamen (PART NAME) über Direct-SQL-Helfer auf. In diesen Pfaden werden die vom Client bereitgestellten Partitionsnamen in SQL eingebettet, indem die String-Konkatenation (DirectSqlUpdatePart.quoteString() → '...') anstelle von Bindeparametern verwendet wird. Ein Partitionsname, der ein einzelnes Zitat enthält (und SQL erstellt), kann die generierte WHERE-Klausel so ändern, dass Lookups, die für eine Partition vorgesehen sind, mit zusätzlichen Zeilen übereinstimmen. Dies kann Lesevorgänge, Statistiken-Updates, verkürzte Ziele, Metadaten-Cache-Ziele und verwandte Operationen beim Metastore beeinflussen. try.direct.sql ist aktiviert (Standard: true). Ein authentifizierter oder Netzwerk-vertrauenswürdiger Anrufer mit der Fähigkeit, Hive Metastore Partitionsnamen-APIs gegen eine Zieltabelle (direkt oder über Hive/andere Clients) aufzurufen, wenn direktes SQL aktiviert ist, kann diesen Angriff ausführen. Auch die Auswirkungen liegen hauptsächlich im Table & Partition Targeting (lesen/aktualisieren/truncate/drop/cache die falschen Partitionen in einer Tabelle, auf die sie verweisen können), nicht willkürlicher datenbankübergreifender Zugriff über diesen Fehler allein.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation hive.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.