Leon Johnson

**Nome do Software Vulnerável e Versões Afetadas** Apache Hive versões anteriores a 4.2.1 **Descrição** Existe um problema no Hive Metastore onde a resolução direta de nomes de partição via SQL permite que usuários autenticados com acesso às APIs do Hive Metastore leiam, modifiquem ou afetem metadados de partição não pretendidos. Isso ocorre quando nomes de partição fornecidos pelo cliente são incorporados ao SQL usando concatenação de strings através da função `DirectSqlUpdatePart.quoteString()` em vez de parâmetros de vinculação (bind parameters). Um nome de partição manipulado contendo uma aspa simples pode alterar a cláusula WHERE gerada, fazendo com que as pesquisas correspondam a linhas adicionais. Isso afeta operações como atualizações de estatísticas, alvos de truncamento e operações de cache de metadados de arquivos quando a variável `metastore.try.direct.sql` está habilitada. O impacto limita-se ao direcionamento de tabelas e partições dentro de tabelas que o usuário já pode referenciar, e não ao acesso arbitrário entre bancos de dados. **Recomendações** Atualize para a versão 4.2.1. Como medida de mitigação temporária, desabilite a variável `metastore.try.direct.sql`.

**Nome do Software Vulnerável e Versões Afetadas** Apache ActiveMQ versões anteriores a 5.19.8 Apache ActiveMQ versões 6.0.0 a 6.2.6 **Description** Existe um problema de autorização inadequada onde um usuário autenticado com baixos privilégios pode acessar os endpoints `/admin/*` no Web Console. Isso ocorre porque as configurações padrão do Jetty não restringem esses caminhos exclusivamente a administradores. **Recommendations** Atualize para a versão 5.19.8. Atualize para a versão 6.2.7.

**Nome do Software Vulnerável e Versões Afetadas** Apache ActiveMQ versões anteriores a 5.19.8 Apache ActiveMQ versões 6.0.0 a 6.2.6 **Descrição** Existe uma falha de autorização no tratamento de destinos temporários. Embora esses destinos devam ser isolados para a conexão que os criou, a verificação de isolamento é realizada apenas no lado do cliente. Isso permite que uma conexão diferente consuma mensagens do destino temporário de outra conexão. **Recomendações** Atualize para a versão 6.2.7.

**Nome do Software Vulnerável e Versões Afetadas** Apache ActiveMQ versões anteriores a 5.19.7 Apache ActiveMQ versões 6.0.0 a 6.2.5 **Description** Uma autorização incompleta no servidor permite que conexões autenticadas removam destinos existentes quando possuem as permissões adequadas. **Recommendations** Atualizar para a versão 5.19.7. Atualizar para a versão 6.2.6.

**Nome do Software Vulnerável e Versões Afetadas** Apache ActiveMQ versões anteriores a 5.19.7 Apache ActiveMQ versões 6.0.0 a 6.2.5 **Description** Permissões padrão incorretas nas configurações de autorização do Jolokia permitem que contas de login web de baixo privilégio autenticadas acessem operações destinadas a administradores. Isso permite que usuários não administradores executem operações de gerenciamento do broker, como `addQueue()` e `removeQueue()`. **Recommendations** Atualizar versões anteriores a 5.19.7 para a versão 5.19.7. Atualizar versões 6.0.0 a 6.2.5 para a versão 6.2.6.