影响 org.apache.hive:hive-exec, org.apache.hive:hive 和 org.apache.hive:hive-service 的低危漏洞

该漏洞允许远程认证用户访问未经授权的文件，从而泄露敏感数据。攻击者可以利用此漏洞读取包含用户凭据、业务数据或其他敏感信息的配置文件或数据文件。虽然CVSS评分为低，但如果Hive服务器存储了高价值数据，或者攻击者能够利用此漏洞进行进一步的攻击，则潜在影响可能非常严重。攻击者可能利用此漏洞作为跳板，进一步渗透到其他系统。

Organizations utilizing Apache Hive for data warehousing and processing, particularly those running versions 0.13.0 or earlier, are at risk. This includes environments where Hive is used to store sensitive data, such as personally identifiable information (PII) or financial records. Shared hosting environments where multiple users have access to the Hive metastore are also particularly vulnerable.

• java / server:

ps -ef | grep hive

• java / server:

find / -name "hive-site.xml" -print

• java / server:

journalctl -u hive -n 100 | grep -i "import" | grep -i "export"

1. 2014-05-15Discovery

   discovery

2. 2018-11-21Disclosure

   disclosure

1. 发布日期2018-11-21
2. 修改日期2024-12-02
3. EPSS 更新日期2026-04-02

最有效的缓解措施是升级至Apache Hive 0.13.1或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制对Hive服务器的访问，仅允许授权用户访问；加强文件权限管理，确保敏感文件受到严格保护；实施Web应用防火墙（WAF），以检测和阻止恶意URI请求。升级后，请验证文件权限设置是否正确，并确认漏洞已成功修复。