Leon Johnson

توجد مشكلة في Hive Metastore حيث يتيح التحليل المباشر لأسماء الأقسام باستخدام SQL للمستخدمين المصادق عليهم الذين لديهم حق الوصول إلى واجهات برمجة تطبيقات Hive Metastore قراءة بيانات تعريف الأقسام غير المقصودة أو تعديلها أو التأثير عليها. يحدث هذا عندما يتم تضمين أسماء الأقسام التي يوفرها العميل في SQL باستخدام تسلسل السلاسل عبر الدالة `DirectSqlUpdatePart.quoteString()` بدلاً من استخدام معلمات الربط. يمكن لاسم قسم مصمم خصيصًا يحتوي على علامة اقتباس مفردة أن يغير جملة WHERE التي تم إنشاؤها، مما يتسبب في مطابقة عمليات البحث لصفوف إضافية. يؤثر هذا على عمليات مثل تحديثات الإحصائيات، وأهداف الاقتطاع، وعمليات ذاكرة التخزين المؤقت لبيانات تعريف الملفات عندما يكون المتغير `metastore.try.direct.sql` ممكّنًا. يقتصر التأثير على استهداف الجداول والأقسام داخل الجداول التي يمكن للمستخدم الرجوع إليها بالفعل، بدلاً من الوصول العشوائي عبر قواعد البيانات.

توجد مشكلة تتعلق بالتفويض غير السليم، حيث يمكن لمستخدم تمت مصادقته ولديه امتيازات منخفضة الوصول إلى نقاط النهاية `/admin/*` في وحدة التحكم على الويب. يحدث هذا لأن الإعدادات الافتراضية لـ Jetty لا تقصر الوصول إلى هذه المسارات على المسؤولين حصريًا.

يوجد عيب في عملية المصادقة عند التعامل مع الوجهات المؤقتة. في حين أن هذه الوجهات من المفترض أن تكون معزولة عن الاتصال الذي أنشأها، إلا أن فحص العزل يتم تنفيذه فقط على جانب العميل. وهذا يسمح لاتصال مختلف باستلام الرسائل من الوجهة المؤقتة لاتصال آخر.

تسمح عملية المصادقة غير الكاملة في الخادم للاتصالات المصادق عليها بإزالة الوجهات الموجودة عندما تمتلك الأذونات المناسبة.

تسمح الأذونات الافتراضية غير الصحيحة في إعدادات ترخيص Jolokia لحسابات تسجيل الدخول عبر الويب المصادق عليها ذات الامتيازات المنخفضة بالوصول إلى العمليات المخصصة للمسؤولين. وهذا يمكّن المستخدمين غير الإداريين من تنفيذ عمليات إدارة الوسيط، مثل `addQueue()` و`removeQueue()`.