جزئیات آسیب‌پذیری
CVE-2022-41137
Apache hiveApache Software Foundation Apache Hive
Apache Hive: Deserialization of untrusted data when fetching partitions from the Metastore
CVSS 3.1
8.3بالا
شرح رسمی (انگلیسی)
Apache Hive Metastore (HMS) uses SerializationUtilities#deserializeObjectWithTypeInformation method when filtering and fetching partitions that is unsafe and can lead to Remote Code Execution (RCE) since it allows the deserialization of arbitrary data. In real deployments, the vulnerability can be exploited only by authenticated users/clients that were able to successfully establish a connection to the Metastore. From an API perspective any code that calls the unsafe method may be vulnerable unless it performs additional prerechecks on the input arguments.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.3بالا | 3.1 | CISA ADP / Vulnrichment (CISA-ADP) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Apache | hive | 4.0.0-alpha-1 ≤ v < 4.0.0 | CISA ADP / Vulnrichment |
| Apache Software Foundation | Apache Hive | 4.0.0-alpha-1 ≤ v < 4.0.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/apache/hive product
- https://issues.apache.org/jira/browse/HIVE-26539 issue-tracking
- https://github.com/apache/hive/commit/60027bb9c91a93affcfebd9068f064bc1f2a74c9 patch
- https://lists.apache.org/thread/jwtr3d9yovf2wo0qlxvkhoxnwxxyzgts vendor-advisory
- http://www.openwall.com/lists/oss-security/2024/12/04/2
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۳/۰۹/۱۵
- آخرین به‌روزرسانی
- ۱۴۰۳/۰۹/۱۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- apache
پیش‌بینی بهره‌برداری (EPSS)
۱٫۶۴٪
احتمال بهره‌برداری در ۳۰ روز
۷۶٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-502Deserialization of Untrusted Data