JVNDB-2026-030942

Apache Software FoundationのApache Hiveにおけるサーバサイドのリクエストフォージェリの脆弱性

Apache Hiveの4.2.1以前のAvro SerDeスキーマ解決におけるサーバーサイドリクエストフォージェリ（SSRF）は、CREATE TABLE権限を持つ認証済みのリモート攻撃者が、Avroテーブルのavro.schema.urlテーブルプロパティを解決する際に、攻撃者が制御するURLをHiveサーバーに取得させることを可能にします。このAvroテーブルはその後クエリされます。これにより、クラウドインスタンスのメタデータ、内部ネットワークサービス、またはローカルサーバーファイルがHiveプロセスのIDに漏洩する可能性があります。ユーザーは、この問題を修正したバージョン4.2.1へアップグレードすることを推奨します。攻撃者のアクセス要件は以下の通りです。 * HiveServer2 / Metastoreへのネットワークアクセス：必須（リモート攻撃モデル） * 有効なHive認証：必須 * CREATE TABLE（または同等）の権限：必須です。攻撃者がテーブルのavro.schema.urlプロパティを設定可能なため * 悪意あるテーブルに対するSELECT権限：作成者には不要です（通常、自身のテーブルをクエリ可能）。他のユーザーがSELECT権限を持つ場合もフェッチを誘発可能です * テーブルのLOCATIONに対する書き込みアクセス：不要です。攻撃はデータパスではなくスキーマのURLを使用するため * 管理者/スーパーユーザー権限：不要です。DDL権限を持つ通常の認証済みユーザーで十分です * 外部テーブルの有効化：通常、実務上必要で多くの導入ではデフォルトで有効になっています。検出のためのガイダンスとしては、 * MetastoreやHiveテーブルのメタデータを監査し、avro.schema.urlがhttp、https、file、ftpなどの予期しないスキームを使用している、またはリンクローカル/クラウドのメタデータアドレス（例：169.254.169.254）やその他の内部ホストを指しているAvroテーブルを確認してください。 * HiveServer2やMetastoreのログを、CREATE/ALTER TABLEおよびAvroテーブルに対するクエリでのスキーマ解決失敗やavro.schema.urlの外向きフェッチに関して調査してください。 * avro.schema.urlを設定するCREATE TABLE/ALTER TABLEの操作と、その後の同一テーブルに対するSELECT操作を相関分析し、特にスキーマ配布としてURLのターゲットが異常な場合に注目してください。 * クラウド導入環境では、AvroのDDLやクエリ操作直後にHiveホストのIDからメタデータサービスへの予期しないリクエストがないか、インスタンス/VPCフローログやメタデータサービスアクセスログを確認してください。

Apache Software Foundation

• Apache Hive 4.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• issues.apache.org : [HIVE-29671] Fix SSRF in Avro SerDe via avro.schema.url and add schema-path authorization - ASF Jira
• Pony Mail : [ANNOUNCE] Apache Hive 4.2.1 Released-Apache Mail Archives

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-55976

1. National Vulnerability Database (NVD) : CVE-2026-55976
2. 関連文書 : HIVE-29671: Harden Schema path authorization for avro serde (#6549)  apache/hive@4504920  GitHub
3. 関連文書 : GitHub - apache/hive: Apache Hive  GitHub

• [2026年08月31日]
    掲載