CVE-2026-49845

إصدارات Apache Hive الأقدم من 4.2.1

توجد مشكلة في Hive Metastore حيث يتيح التحليل المباشر لأسماء الأقسام باستخدام SQL للمستخدمين المصادق عليهم الذين لديهم حق الوصول إلى واجهات برمجة تطبيقات Hive Metastore قراءة بيانات تعريف الأقسام غير المقصودة أو تعديلها أو التأثير عليها. يحدث هذا عندما يتم تضمين أسماء الأقسام التي يوفرها العميل في SQL باستخدام تسلسل السلاسل عبر الدالة DirectSqlUpdatePart.quoteString() بدلاً من استخدام معلمات الربط. يمكن لاسم قسم مصمم خصيصًا يحتوي على علامة اقتباس مفردة أن يغير جملة WHERE التي تم إنشاؤها، مما يتسبب في مطابقة عمليات البحث لصفوف إضافية. يؤثر هذا على عمليات مثل تحديثات الإحصائيات، وأهداف الاقتطاع، وعمليات ذاكرة التخزين المؤقت لبيانات تعريف الملفات عندما يكون المتغير metastore.try.direct.sql ممكّنًا. يقتصر التأثير على استهداف الجداول والأقسام داخل الجداول التي يمكن للمستخدم الرجوع إليها بالفعل، بدلاً من الوصول العشوائي عبر قواعد البيانات.

قم بالترقية إلى الإصدار 4.2.1.

كإجراء تخفيفي مؤقت، قم بتعطيل المتغير metastore.try.direct.sql.