PT-2025-2366 · Apache · Apache Hive

Andrea Cosentino · Publicado 2025-01-28 · Atualizado 2025-02-01 · CVE-2024-23953

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:C/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache Hive anteriores a 4.0.0

Descrição: O problema surge devido ao uso de Arrays.equals() em LlapSignerImpl para comparar assinaturas de mensagem, permitindo que um atacante forje uma assinatura válida para uma mensagem arbitrária byte a byte. Isso pode ocorrer quando uma aplicação não utiliza um algoritmo de tempo constante para validar uma assinatura. O método Arrays.equals() retorna falso assim que encontra bytes diferentes na entrada, tornando o tempo de comparação dependente do conteúdo do array. Isso poderia permitir que usuários maliciosos enviem splits ou trabalhem com assinaturas selecionadas para o LLAP sem executar como um usuário privilegiado, potencialmente levando a um ataque DDoS. O atacante deve ser um usuário autorizado do produto para realizar este ataque.

Recomendações: Versões do Apache Hive anteriores a 4.0.0: Atualize para a versão 4.0.0, que corrige este problema.

Exploit

Correção

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-208

CWE-290

Identificadores relacionados

BDU:2025-05249

CVE-2024-23953

GHSA-P953-3J66-HG45

Produtos afetados

Apache Hive

Referências · 22

• 🔥 https://blog.gypsyengineer.com/en/security/preventing-timing-attacks-with-codeql.html · Exploit
• https://github.com/apache/hive · Nota
• https://github.com/apache/hive/commit/b418e3c9f479ba8e7d31e6470306111002ffa809 · Correção
• https://lists.apache.org/thread/0nloywj49nbtlc6l3c6363qvq7o1ztb7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23953 · Nota de Segurança
• https://twitter.com/fridaysecurity/status/1885153848194367782 · Publicação no Twitter
• https://issues.apache.org/jira/browse/HIVE-28030 · Correção
• https://twitter.com/fletch_ai/status/1885629251585802722 · Publicação no Twitter
• https://t.me/pentestingnews/55925 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1884183308030079103 · Publicação no Twitter
• https://cqr.company/web-vulnerabilities/timing-attacks · Nota
• https://osv.dev/vulnerability/CVE-2024-23953 · Aviso do Fabricante
• https://t.me/cvenotify/108849 · Publicação no Telegram
• https://twitter.com/Dinosn/status/1885171944435200413 · Publicação no Twitter
• https://twitter.com/oss_security/status/1884268990291403108 · Publicação no Twitter