CVE-2026-53561 in Hive
Zusammenfassung
von VulDB • 25.08.2026
Eine Schwachstelle für unsachgemäße Authentifizierung bei der Validierung von SAML-Bearer-Tokens in HiveServer2 ermöglicht es Apache Hive 4.0.0 bis 4.2.0 (sowie späteren, noch nicht veröffentlichten Branches) auf Bereitstellungen mit HTTP-Transport und hive.server2.authentication=SAML einem nicht authentifizierten Netzwerkangreifer, sich als beliebiger Hive-Benutzer zu authentifizieren und eine authentifizierte HiveServer2-Sitzung über einen gefälschten Authorization: Bearer-Token zu erhalten, der an den /cliservice HTTP-Endpunkt gesendet wird. Benutzern wird empfohlen, auf die Version 4.2.1 upzugraden, die die Korrektur für dieses Problem enthält.
Zugang/Autorisierung erforderlich: Nein; es werden keine Hive-Anmeldeinformationen, SAML IdP-Login oder Kenntnisse des Server-Signing Secrets benötigt. Der Angreifer benötigt lediglich Netzwerkreichweite zum HTTP-Port von HiveServer2 (typischerweise /cliservice), direkt oder über einen Reverse Proxy wie Apache Knox, der nicht authentifizierte Anfragen an HS2 weiterleitet. Die Instanz muss die SAML-Authentifizierung im HTTP-Modus aktiviert haben. Bereitstellungen, bei denen Knox das Single Sign-On (SSO) übernimmt und HiveServer2 LDAP/Kerberos verwendet (nicht den nativen SAML-Modus), sind von diesem spezifischen Problem nicht betroffen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.