CVE-2025-62728 in Hive
요약
\~에 의해 VulDB • 2026. 07. 23.
Thrift API를 통해 열 통계 삭제 요청을 처리할 때 Hive Metastore Server(HMS)에서 SQL injection 취약점이 발생합니다. 이 취약점은 Thrift API에 직접 호출 권한이 있는 신뢰할 수 있거나 승인된 사용자/애플리케이션에게만 악용 가능합니다. 대부분의 실제 배포 환경에서는 HMS가 소수의 애플리케이션(예: Hiveserver2)에만 접근 가능하므로, 해당 취약점은 실제로 악용되지 않습니다. 또한 metastore.try.direct.sql 속성이 false로 설정되어 있는 경우 취약한 코드에 도달할 수 없습니다.
이 문제는 Apache Hive 4.1.0부터 4.2.0 미만 버전에서 영향을 받습니다.
사용자는 문제를 해결하는 버전 4.2.0으로 업그레이드하는 것이 권장됩니다. HMS Thrift API가 일반 대중에게 공개되어 있는 경우, 직접 업그레이드가 불가능한 사용자는 metastore.try.direct.sql 속성을 false로 설정할 것을 권고합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.