Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Hive」に脆弱性 - 認証回避や情報漏洩のおそれ

Hadoop上で動作するデータウェアハウスシステム「Apache Hive」に2件の脆弱性が明らかとなった。開発チームは脆弱性へ対処したアップデートを提供している。

現地時間2025年1月28日にメーリングリストで2件の脆弱性「CVE-2024-23953」「CVE-2024-29869」を明らかにしたもの。重要度はともに4段階中、上から2番目にあたる「重要(Important)」とレーティングしている。

「CVE-2024-23953」は、署名検証の不備に起因する脆弱性。比較時間がデータの内容に依存しているため、認証済みのユーザーによるタイミング攻撃によってリクエストを偽造でき、サービス拒否を引き起こすことが可能だという。

一方「CVE-2024-29869」は、一時作成する認証情報ファイルのアクセス制御に関する脆弱性。デフォルトで読み取り権限が与えられており、同じディレクトリにアクセス権限を持つユーザーによって認証情報を閲覧可能となる。

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2024-23953」が「6.5」、「CVE-2024-29869」が「5.5」と評価し、重要度をともに「中(Medium)」とした。

開発チームは、「CVE-2024-23953」を「Apache Hive 4.0.0」、「CVE-2024-29869」を「同4.0.1」で修正したとし、利用者に注意を呼びかけている。

(Security NEXT - 2025/02/03 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

セイコーエプソン製プリンタドライバに脆弱性 - 日本語以外の環境に影響
米当局、悪用が確認された脆弱性4件について注意喚起
「ConnectWise ScreenConnect」に脆弱性 - 修正版が公開
NETSCOUT「nGeniusONE」に複数の脆弱性 - アップデートで修正
Python向けHTTPライブラリに脆弱性 - リクエストスマグリング攻撃のおそれ
ゼロデイ攻撃は8カ月以上前 - 「Active! mail」脆弱性の影響拡大に懸念
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開
「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正
NVIDIA製GPUドライバに複数の脆弱性 - 権限昇格やDoSのおそれ