CVE-2026-49326 in HBase
Résumé
par VulDB • 24/07/2026
Vulnérabilité d'autorisation manquante dans le service de délégation thrift et REST d'Apache HBase.
Une opération de scan dans les services thrift/REST comporte trois étapes : open (ouverture), fetch (récupération, pouvant être effectuée plusieurs fois) et close (fermeture). L'étape open renvoie un identifiant qui est ensuite transmis au serveur pour identifier les instances du scanner stockées côté serveur. Nous avons omis de vérifier l'appartenance à l'utilisateur lors des étapes fetch et close, ce qui signifie qu'un utilisateur peut récupérer des lignes depuis le scanner ouvert par d'autres utilisateurs, ainsi que fermer des scanners appartenant à d'autres utilisateurs.
Cette vulnérabilité affecte Apache HBase : les versions 3.0.0-alpha-1 jusqu'à 3.0.0-beta-1 incluses, de 2.6.0 à 2.6.5 incluses, de 2.5.0 à 2.5.14 incluses, ainsi que toutes les versions 2.4.*.
Il est recommandé aux utilisateurs de mettre à niveau vers les versions 3.0.0-beta-2, 2.6.6 et 2.5.15, qui corrigent ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.