🇰🇷 한글 설명
Apache Hive의 JDBC 드라이버 구성 요소에서 발생하는 코드 주입(Code Injection) 취약점입니다. 공격자가 악성 JDBC URL을 통해 클라이언트 측에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
해커가 만든 가짜 주소로 연결을 시도하면, 사용자의 컴퓨터에서 해커가 원하는 명령어가 몰래 실행될 수 있는 보안 약점입니다. JDBC 연결 설정을 조작할 수 있는 권한이 있다면 위험합니다.
🇺🇸 원문 (English)
Improper Control of Generation of Code ('Code Injection') vulnerability in Apache Hive.
The vulnerability affects the Hive JDBC driver component and it can potentially lead to arbitrary code execution on the machine/endpoint that the JDBC driver (client) is running. The malicious user must have sufficient permissions to specify/edit JDBC URL(s) in an endpoint relying on the Hive JDBC driver and the JDBC client process must run under a privileged user to fully exploit the vulnerability.
The attacker can setup a malicious HTTP server and specify a JDBC URL pointing towards this server. When a JDBC connection is attempted, the malicious HTTP server can provide a special response with customized payload that can trigger the execution of certain commands in the JDBC client.This issue affects Apache Hive: from 4.0.0-alpha-1 before 4.0.0.
Users are recommended to upgrade to version 4.0.0, which fixes the issue.
📍 영향받는 시스템
Apache Hive 4.0.0-alpha-1 미만의 모든 버전
⚔️ 공격 벡터
악성 HTTP 서버를 구축하고 조작된 JDBC URL을 통해 클라이언트 연결을 유도하여 페이로드를 전달함
🛡️ 대응 방법
Apache Hive를 취약점이 해결된 버전인 4.0.0 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 정보가 4.0.0 이상인지 확인하여 취약 여부를 판단합니다.
hive --version | grep -E '4\.[0-9]+'