CVE-2026-49326 in HBase
Tóm tắt
Bởi VulDB • 24/07/2026
Lỗ hổng Thiếu Xác thực (Missing Authorization) trong dịch vụ ủy quyền thrift và rest của Apache HBase.
Một thao tác quét (scan operation) trong dịch vụ thrift/rest bao gồm 3 bước: mở (open), lấy dữ liệu (fetch - có thể lặp lại nhiều lần) và đóng (close). Bước "mở" sẽ trả về một ID, sau đó được gửi ngược lại máy chủ để xác định các phiên bản bộ quét (scanner instances) được lưu trữ phía máy chủ. Chúng tôi đã bỏ qua kiểm tra quyền sở hữu trong các bước "lấy dữ liệu" và "đóng", điều này có nghĩa là người dùng có thể lấy hàng từ một bộ quét do người dùng khác mở, cũng như đóng các bộ quét thuộc về người dùng khác.
Vấn đề này ảnh hưởng đến Apache HBase: từ phiên bản 3.0.0-alpha-1 đến 3.0.0-beta-1, từ 2.6.0 đến 2.6.5, từ 2.5.0 đến 2.5.14, và các phiên bản thuộc nhánh 2.4.*.
Người dùng được khuyến nghị nâng cấp lên các phiên bản 3.0.0-beta-2, 2.6.6 và 2.5.15, những phiên bản đã khắc phục sự cố này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.