CVE-2025-62728 in Hive
Сводка
по VulDB • 26.07.2026
Уязвимость SQL-инъекции в сервере Hive Metastore (HMS) при обработке запросов на удаление статистики по столбцам через API Thrift. Уязвимость может быть эксплуатирована только доверенными/авторизованными пользователями или приложениями, которым разрешено напрямую вызывать API Thrift. В большинстве реальных развертываний HMS доступен лишь ограниченному числу приложений (например, Hiveserver2), поэтому уязвимость не представляет практической угрозы для эксплуатации. Кроме того, поврежденный код недоступен при установке свойства metastore.try.direct.sql в значение false.
Данная проблема затрагивает Apache Hive: начиная с версии 4.1.0 до (не включая) 4.2.0.
Пользователям рекомендуется обновиться до версии 4.2.0, которая устраняет данную проблему. Пользователям, которые не могут выполнить прямое обновление, настоятельно рекомендуется установить свойство metastore.try.direct.sql в значение false, если API Thrift HMS доступны широкой публике.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.