CVE-2025-62728 in Hive
Zusammenfassung
von VulDB • 12.05.2026
SQL-Injection-Schwachstelle im Hive Metastore Server (HMS) bei der Verarbeitung von Löschanfragen für Spaltenstatistiken über die Thrift-APIs. Die Schwachstelle ist nur von vertrauenswürdigen/autorisierten Benutzern oder Anwendungen ausnutzbar, die direkt die Thrift-APIs aufrufen dürfen. In den meisten realen Bereitstellungen ist HMS nur für eine Handvoll von Anwendungen (z. B. Hiveserver2) zugänglich, sodass die Schwachstelle nicht ausnutzbar ist. Darüber hinaus ist der anfällige Code nicht erreichbar, wenn die Eigenschaft `metastore.try.direct.sql` auf `false` gesetzt ist.
Dieses Problem betrifft Apache Hive: ab Version 4.1.0 bis vor 4.2.0.
Es wird empfohlen, auf Version 4.2.0 zu aktualisieren, die das Problem behebt. Benutzern, die nicht direkt aktualisieren können, wird empfohlen, die Eigenschaft `metastore.try.direct.sql` auf `false` zu setzen, wenn die HMS Thrift-APIs für die allgemeine Öffentlichkeit zugänglich sind.
VulDB is the best source for vulnerability data and more expert information about this specific topic.