PT-2022-10351 · Apache · Apache Hive

Hideyuki Furue · Publicado 2022-07-16 · Atualizado 2022-07-21 · CVE-2021-34538

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Hive anteriores à 3.1.3

Descrição

O problema decorre da falta de verificações de autorização necessárias para as entidades envolvidas na consulta durante as operações das funções CREATE e DROP. Isso permite que um usuário não autorizado manipule uma UDF existente sem os privilégios adequados, possibilitando que ele elimine e recrie UDFs que apontam para arquivos JAR potencialmente maliciosos.

Recomendações

Para versões anteriores à 3.1.3, atualize para a versão 3.1.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às operações das funções CREATE e DROP apenas a usuários autorizados e monitore de perto as manipulações de UDFs para minimizar o risco de exploração.

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2021-34538

GHSA-V3P8-J597-3XG8

Produtos afetados

Apache Hive

Referências · 6

• https://github.com/apache/hive · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-34538 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-34538 · Aviso do Fabricante
• https://t.me/cvenotify/33194 · Publicação no Telegram
• https://lists.apache.org/thread/oqqgnhz4c6nxsfd0xstosnk0g15f7354 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-v3p8-j597-3xg8 · Aviso do Fabricante