🔴 CVE-2026-55976: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-55976 beschreibt eine kritische Server-Side Request Forgery (SSRF)-Schwachstelle in Apache Hive vor Version 4.2.1. Die Schwachstelle befindet sich in der Avro SerDe Schema-Auflösung und ermöglicht authentifizierten Angreifern mit CREATE TABLE-Berechtigung, den Hive-Server dazu zu bewegen, angreifer-kontrollierte URLs zu laden. Dies kann zur Exposition von Cloud-Metadaten, internen Netzwerkdiensten oder lokalen Serverdateien führen. Der CVSS-Score beträgt 9.1 (Critical).

Betroffene Systeme

Apache Hive in Versionen vor 4.2.1. Die Schwachstelle betrifft alle Deployments mit aktivierten externen Tabellen und Avro-Format-Unterstützung, insbesondere in Cloud-Umgebungen (AWS, Azure, GCP).

Technische Details

Die Anfälligkeit liegt in der Behandlung der avro.schema.url Tabelleneigenschaft. Bei der Abfrage einer Avro-Tabelle versucht HiveServer2, das Schema von der angegebenen URL zu laden. Ein authentifizierter Angreifer mit DDL-Rechten kann eine externe Tabelle mit manipulierter avro.schema.url erstellen, die auf beliebige Ziele zeigt:

• Cloud-Metadaten-Services (169.254.169.254)
• Interne Netzwerkdienste
• Lokale Dateisysteme (file://)
• Beliebige HTTP/HTTPS-Endpunkte

Die Anfrage wird mit der Identität des Hive-Prozesses ausgeführt, was zur Offenlegung sensibler Informationen führt.

Empfohlene Massnahmen

Sofortmassnahmen:

• Upgrade auf Apache Hive 4.2.1 oder höher durchführen
• Externe Tabellen deaktivieren, falls nicht erforderlich
• Netzwerk-Egress-Filter implementieren, um unerwartete Outbound-Verbindungen zu blockieren
• CREATE TABLE-Berechtigungen auf vertrauenswürdige Benutzer beschränken

Überwachung:

• Metastore-Tabelleneigenschaften auf verdächtige avro.schema.url-Einträge prüfen
• HiveServer2-Logs auf Fehler bei Schema-Auflösung analysieren
• Netzwerk-Traffic zu Cloud-Metadaten-Services monitoren

Bewertung

Diese Schwachstelle erfordert Authentifizierung und spezifische Berechtigungen, was die praktische Ausnutzbarkeit einschränkt. In Multi-Tenant-Umgebungen oder bei Insider-Bedrohungen stellt sie jedoch ein erhebliches Risiko dar. Die schnelle Patch-Verfügbarkeit wird empfohlen.

„`