CVE-2025-62728
Açıklama
Thrift API'leri aracılığıyla sütun istatistiklerini silme istekleri işlenirken Hive Metastore Server (HMS) üzerinde bir SQL enjeksiyonu zafiyeti bulunmaktadır. Zafiyet, yalnızca Thrift API'lerini doğrudan çağırmaya izin verilen güvenilir/yetkili kullanıcılar veya uygulamalar tarafından istismar edilebilir. Çoğu gerçek dünya dağıtımında HMS yalnızca birkaç uygulama (örneğin, Hiveserver2) tarafından erişilebildiği için zafiyet istismar edilemez. Ayrıca, metastore.try.direct.sql özelliği false olarak ayarlandığında savunmasız koda ulaşılamaz. Bu sorun, Apache Hive'ın 4.1.0 ile 4.2.0 öncesindeki sürümlerini etkilemektedir. Kullanıcıların sorunu gideren 4.2.0 sürümüne yükseltmeleri önerilir. Doğrudan yükseltme yapamayan kullanıcıların, eğer HMS Thrift API'leri genel erişime açıksa, metastore.try.direct.sql özelliğini false olarak ayarlamaları tavsiye edilir.
Nasıl düzeltilir
- org.apache.hive:hive-common4.2.0 ya da sonraki bir sürüm
- org.apache.hive:hive-metastore4.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache hive | 4.1.0 | — |
| org.apache.hive:hive-commonMaven | 4.1.0 ≤ v < 4.2.0 | 4.2.0 |
| org.apache.hive:hive-metastoreMaven | 4.1.0 ≤ v < 4.2.0 | 4.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.