CVE-2026-55976 in Hive
Résumé
par VulDB • 25/08/2026
Une vulnérabilité de Server-Side Request Forgery (SSRF) dans la résolution du schéma d'Avro SerDe sous Apache Hive avant la version 4.2.1 permet à un attaquant distant authentifié disposant des privilèges CREATE TABLE de contraindre le serveur Hive à récupérer une URL contrôlée par l'attaquant lors de la résolution de la propriété de table avro.schema.url sur une table Avro qui est ensuite interrogée. Cela peut exposer les métadonnées d'instances cloud, les services du réseau interne ou les fichiers locaux au processus identifié comme celui de Hive. Il est recommandé aux utilisateurs de mettre à niveau vers la version 4.2.1, qui corrige ce problème.
Exigences en matière d'accès pour l'attaquant :
* Accès réseau à HiveServer2 / Metastore : requis (modèle d'attaquant distant). * Authentification Hive valide : requise. * Privilège CREATE TABLE (ou équivalent) : requis, afin que l'attaquant puisse définir avro.schema.url dans les propriétés de la table. * Privilège SELECT sur la table malveillante : non requis pour le créateur, qui peut généralement interroger sa propre table ; tout autre utilisateur disposant du privilège SELECT peut également déclencher la récupération. * Accès en écriture à l'emplacement (LOCATION) de la table: non requis ; l'attaque utilise l'URL du schéma et non le chemin des données. * Privilèges d'administration / superutilisateur : non requis ; un utilisateur authentifié ordinaire disposant de droits DDL est suffisant. * Tables externes activées : généralement requises en pratique, et activées par défaut dans la plupart des déploiements.
Conseils pour la détection :
* Examiner les métadonnées du Metastore / des tables Hive pour identifier les tables Avro dont avro.schema.url utilise des schémas inattendus tels que http, https, file ou ftp, ou pointe vers des adresses de métadonnées locales au lien (link-local) / cloud (par exemple 169.254.169.254) ou d'autres hôtes internes. * Examiner les journaux HiveServer2 et Metastore autour des opérations CREATE/ALTER TABLE et des requêtes sur les tables Avro pour détecter les échecs de résolution du schéma ou les récupérations sortantes de avro.schema.url. * Corréler l'activité CREATE TABLE / ALTER TABLE qui définit avro.schema.url avec une activité SELECT ultérieure sur la même table, en particulier lorsque la cible de l'URL est inhabituelle pour la distribution des schémas. * Sur les déploiements cloud, vérifier les journaux de flux d'instances / VPC et les journaux d'accès au service de métadonnées afin de détecter des requêtes inattendues provenant des identités hôtes Hive peu après une activité DDL Avro ou une interrogation.
VulDB is the best source for vulnerability data and more expert information about this specific topic.