hive远程模式配置,Apache Airflow Hive Provider Beeline 远程代码执行漏洞

科技资讯 投稿 8000 0 评论

漏洞描述

hive远程模式配置,Airflow Hive Provider 是Apache Airflow与Apache Hive集成的插件。Beeline 是Hive客户端与服务器进行交互的命令行工具。

Airflow Apache Hive Provider 6.1.1之前版本中由于 hive#_prepare_cli_cmd 方法未对用户参数正确过滤,具有修改 Hive 连接参数权限的攻击者可将包含分号(';')的恶意负载注入到 extra_dejson 参数的 principal 值中,从而在Hive服务器远程执行任意命令。

漏洞名称 Apache Airflow Hive Provider Beeline 远程代码执行漏洞
漏洞类型 代码注入
发现时间 2023-07-02
漏洞影响广度 广
MPS编号 MPS-gyzv-dxst
CVE编号 CVE-2023-35797
CNVD编号 -

影响范围

apache-airflow-providers-apache-hive@[1.0.0, 6.1.1)

修复方案

升级apache-airflow-providers-apache-hive到 6.1.1 或更高版本

官方已发布漏洞补丁:https://github.com/apache/airflow/commit/fc7bb05289c9949fcee5e9168e4467e95cdf2c87

参考链接

https://www.oscs1024.com/hd/MPS-gyzv-dxst

https://nvd.nist.gov/vuln/detail/CVE-2023-35797

https://github.com/apache/airflow/commit/fc7bb05289c9949fcee5e9168e4467e95cdf2c87

https://github.com/apache/airflow/pull/31983

https://lists.apache.org/thread/30y19ok07fw52x5hnkbhwqo3ho0wwc1y

    

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区,社区联合开发者帮助全球顶级开源项目解决安全问题,并提供实时的安全漏洞情报,同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具: https://www.murphysec.com/?src=osc

免费情报订阅: https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见: https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

谷歌:关于 Rust 的谣传和事实 员工窃取公司游戏源代码,半年盈利 1.5 亿 人大毕业生盗取全校学生信息建颜值打分网站,已被刑拘 美团以 20.65 亿元收购光年之外 开源中国完成 B+ 轮战略融资,股份重组成为完全中立平台 基于 NT 架构的全新 QQ Windows 版正式发布 WhatsApp 弃用基于 Electron 框架构建的桌面应用程序 美国将限制中国使用亚马逊、微软等提供训练 AI 模型的云服务 Linus Torvalds 动手改进 Linux 用户模式堆栈扩展 资金严重短缺,又一流行开源项目宣布停止功能开发

编程笔记 » hive远程模式配置,Apache Airflow Hive Provider Beeline 远程代码执行漏洞

赞同 (46) or 分享 (0)
游客 发表我的评论   换个身份
取消评论

表情
(0)个小伙伴在吐槽