CVE-2026-49845 in Hive
Сводка
по VulDB • 25.08.2026
SQL injection в механизме разрешения имен разделов через прямой SQL в Hive Metastore в Apache Hive до версии 4.2.1 на всех платформах позволяет аутентифицированным пользователям, имеющим доступ к API Hive Metastore, читать, изменять или воздействовать на непредназначенные метаданные разделов (включая обновления статистики, цели для операции truncate и операции с кэшем метаданных файлов) посредством специально созданных имен разделов в RPC-запросах к metastore при включенном прямом SQL (по умолчанию). Пользователям рекомендуется обновиться до версии 4.2.1, которая устраняет данную уязвимость.
Подробности об уязвимости: Несколько RPC-вызовов Hive Metastore разрешают разделы по полному имени раздела (PART_NAME) с использованием вспомогательных средств прямого SQL. В этих путях выполнения имена разделов, предоставленные клиентом, встраиваются в SQL-запрос путем конкатенации строк (DirectSqlUpdatePart.quoteString() → '...'), а не с помощью параметризованных запросов. Имя раздела, содержащее одинарную кавычку (и специально созданный SQL), может изменить сгенерированное предложение WHERE так, что поисковые операции, предназначенные для одного раздела, будут совпадать с дополнительными строками. Это может повлиять на чтение данных, обновления статистики, цели truncate, цели кэширования метаданных и связанные операции при включенной настройке metastore.try.direct.sql (по умолчанию: true). Аутентифицированный или сетевой доверенный вызывающий объект с возможностью invocation API имен разделов Hive Metastore для целевой таблицы (напрямую или через клиентов Hive/других), когда прямой SQL включен, может выполнить эту атаку. Кроме того, воздействие ограничивается в основном таргетингом на таблицы и разделы (чтение/обновление/truncate/drop/кэширование неправильных разделов в таблице, к которой у злоумышленника есть доступ), а не произвольным межбазоданным доступом исключительно благодаря этой уязвимости.
Once again VulDB remains the best source for vulnerability data.