PT-2025-48132
CVE-2025-62728
·
تاريخ النشر
2025-11-26
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Hive من 4.1.0 إلى 4.2.0
الوصف
توجد ثغرة أمنية تتعلق بحقن SQL في خادم Metastore الخاص بـ Hive (HMS) عند معالجة طلبات حذف إحصائيات الأعمدة عبر واجهات برمجة التطبيقات (APIs) الخاصة بـ Thrift. لا يمكن استغلال هذه الثغرة إلا من قبل المستخدمين المصرح لهم أو التطبيقات المسموح لها بالاتصال مباشرة بواجهات برمجة التطبيقات الخاصة بـ Thrift. في عمليات النشر النموذجية، يقتصر الوصول إلى HMS على عدد قليل من التطبيقات، مما يقلل من خطر الاستغلال. لا يمكن الوصول إلى الكود المعرض للثغرة عندما تكون الخاصية
metastore.try.direct.sql محددة بقيمة false. تتعلق الثغرة بمعالجة الطلبات عبر ما يلي:نقاط نهاية واجهة برمجة التطبيقات: واجهات برمجة تطبيقات Thrift
المعلمات أو المتغيرات المعرضة للخطر: الطلبات الرامية إلى استبعاد إحصائيات الأعمدة.
التوصيات
قم بالتحديث إلى الإصدار 4.2.0 لحل المشكلة.
إذا تعذر إجراء التحديث، فقم بتعيين الخاصية
metastore.try.direct.sql على القيمة false في حالة تعرض واجهات برمجة تطبيقات Thrift الخاصة بـ HMS للجمهور.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾