JVNDB-2026-030793

Apache Software FoundationのApache Hiveにおけるコードインジェクションの脆弱性

Apache Hiveのすべてのプラットフォームにおけるバージョン4.2.1以前のHive Metastoreには、直接SQLを用いたパーティション名解決機能にSQLインジェクションの脆弱性があります。この脆弱性により、Hive Metastore APIへのアクセス権を持つ認証ユーザーは、直接SQLが有効（デフォルト設定）な場合に、メタストアRPCリクエスト内の細工されたパーティション名を通じて、意図しないパーティションのメタデータ（統計情報の更新、トランケーションターゲット、ファイルメタデータキャッシュ操作を含む）を読み取り、変更、または影響を与えることが可能です。本問題はバージョン4.2.1で修正されているため、ユーザーにはアップグレードを推奨します。問題の詳細としては、複数のHive Metastore RPCが、完全なパーティション名（PART_NAME）によってパーティションを解決する際に直接SQLのヘルパーを使用しています。その経路では、クライアントから提供されたパーティション名がバインドパラメータではなく文字列連結（DirectSqlUpdatePart.quoteString() → '...')でSQL文に埋め込まれます。パーティション名にシングルクォートおよび細工されたSQLを含めると、生成されるWHERE句を改変して本来1つのパーティションを対象とした検索が複数の行にマッチしてしまう可能性があります。これにより、読み取り、統計更新、トランケーションターゲット、メタデータキャッシュ対象および関連操作に影響を及ぼすことが考えられます（metastore.try.direct.sqlが有効の場合、デフォルトはtrueです）。認証済みまたはネットワーク的に信頼された呼び出し元は、直接SQLが有効な状態でHive Metastoreのパーティション名APIを通じて対象テーブルに対し（直接あるいはHiveやその他のクライアント経由で）この攻撃を実行可能です。また、この脆弱性の影響は主に対象テーブル内のパーティション単位（誤ったパーティションの読み取り、更新、トランケーション、削除、キャッシュ更新を引き起こす）に限定されており、本脆弱性単独では任意のクロスデータベースアクセスが発生しないことも特徴です。

Apache Software Foundation

• Apache Hive 4.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• issues.apache.org : [HIVE-29622] Potential vulnerability in HiveMetaStore partition-name direct-SQL paths - ASF Jira
• Pony Mail : [ANNOUNCE] Apache Hive 4.2.1 Released-Apache Mail Archives

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-49845

1. National Vulnerability Database (NVD) : CVE-2026-49845
2. 関連文書 : HIVE-29622: Improve metastore direct-SQL partition lookup robustness …  apache/hive@ca64f08  GitHub
3. 関連文書 : GitHub - apache/hive: Apache Hive  GitHub

• [2026年08月28日]
    掲載