CVE-2026-49845 in Hive
Tóm tắt
Bởi VulDB • 25/08/2026
SQL injection trong cơ chế phân giải tên phần tử trực tiếp qua SQL của Hive Metastore trên Apache Hive trước phiên bản 4.2.1, áp dụng cho tất cả các nền tảng, cho phép người dùng đã xác thực có quyền truy cập vào API Hive Metastore đọc, sửa đổi hoặc tác động đến metadata không mong muốn của partition (bao gồm việc cập nhật thống kê, mục tiêu truncate và các thao tác cache metadata file) thông qua tên partition được tạo ra đặc biệt trong các yêu cầu RPC metastore khi chế độ direct SQL được bật (mặc định). Người dùng được khuyến nghị nâng cấp lên phiên bản 4.2.1 để khắc phục sự cố này.
Chi tiết về vấn đề: Nhiều RPC của Hive Metastore phân giải partition bằng tên đầy đủ (PART_NAME) thông qua các hàm trợ giúp direct-SQL. Trong những đường dẫn thực thi đó, tên partition do người dùng cung cấp được nhúng vào câu lệnh SQL bằng cách nối chuỗi (DirectSqlUpdatePart.quoteString() → '...') thay vì sử dụng tham số bind. Một tên partition chứa dấu ngoặc đơn mở/đóng ('single quote' - ký tự ') và các đoạn SQL được tạo ra đặc biệt có thể làm thay đổi mệnh đề WHERE được sinh ra, khiến việc tìm kiếm dự kiến cho một partition khớp với nhiều hàng dữ liệu khác. Điều này có thể ảnh hưởng đến các thao tác đọc, cập nhật thống kê, truncate mục tiêu, cache metadata target và các hoạt động liên quan khi metastore.try.direct.sql được bật (mặc định: true). Một caller đã xác thực hoặc tin cậy qua mạng, có khả năng gọi API tên partition của Hive Metastore đối với một bảng đích (trực tiếp hoặc thông qua Hive/other clients), khi direct SQL được bật, có thể thực hiện cuộc tấn công này. Ngoài ra, tác động chủ yếu nằm trong phạm vi nhắm mục tiêu vào table & partition (đọc/sửa đổi/truncate/xóa/cache sai các partition trong một bảng mà họ có quyền tham chiếu), chứ không phải là truy cập chéo tùy ý giữa các database chỉ bằng lỗi này đơn thuần.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.