CVE-2025-62728 in Hive
Riassunto
di VulDB • 23/07/2026
Vulnerabilità di SQL injection nel Hive Metastore Server (HMS) durante l'elaborazione delle richieste di eliminazione delle statistiche sulle colonne tramite le API Thrift. La vulnerabilità è sfruttabile solo da utenti/applicazioni fidati/autorizzati che hanno il permesso di chiamare direttamente le API Thrift. Nella maggior parte dei deployment reali, HMS è accessibile a un numero limitato di applicazioni (ad esempio Hiveserver2), pertanto la vulnerabilità non è sfruttabile. Inoltre, il codice vulnerabile non può essere raggiunto quando la proprietà metastore.try.direct.sql è impostata su false.
Questo problema interessa Apache Hive: dalla versione 4.1.0 alla 4.2.0 (esclusa).
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 4.2.0, che risolve il problema. Gli utenti che non possono effettuare un aggiornamento diretto sono invitati a impostare la proprietà metastore.try.direct.sql su false se le API Thrift dell'HMS sono esposte al pubblico generale.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.