CVE-2026-49845

Published: Ago 25, 2026 Last Modified: Ago 25, 2026

ExploitDB:

Other exploit source:

Google Dorks:

Description

AI Translation Available

SQL injection in Hive Metastore direct SQL partition-name resolution in Apache Hive before 4.2.1 on all platforms allows authenticated users with access to Hive Metastore APIs to read, modify, or affect unintended partition metadata (including statistics updates, truncation targets, and file-metadata cache operations) via crafted partition names in metastore RPC requests when direct SQL is enabled (the default). Users are recommended to upgrade to version 4.2.1, which fixes this issue.

Details about the issue:
Several Hive Metastore RPCs resolve partitions by full partition name (PART_NAME) through direct-SQL helpers. In those paths, client-supplied partition names are embedded into SQL using string concatenation (DirectSqlUpdatePart.quoteString() → '...') instead of bind parameters. A partition name containing a single quote (and crafted SQL) can alter the generated WHERE clause so that lookups intended for one partition match additional rows. That can affect reads, stats updates, truncate targets, metadata-cache targets, and related operations when metastore.try.direct.sql is enabled (default: true). An authenticated or network-trusted caller with the ability to invoke Hive Metastore partition-name APIs against a target table (directly or via Hive/other clients), when direct SQL is enabled can perform this attack. Also, the impact is mainly within table & partition targeting (read/update/truncate/drop/cache the wrong partitions in a table they can reference), not arbitrary cross-database access via this bug alone.

AI Generated Translation

SQL injection nel risolutore diretto SQL dei nomi di partizione in Hive Metastore in Apache Hive prima della versione 4.2.1 su tutte le piattaforme consente agli utenti autenticati con accesso alle API di Hive Metastore di leggere, modificare o influenzare i metadati delle partizioni non intenzionali (inclusi aggiornamenti delle statistiche, obiettivi di troncamento e operazioni di cache dei metadati) tramite nomi di partizione manipolati nelle richieste RPC del metastore quando la modalità di SQL diretto è abilitata (impostazione predefinita). Si raccomanda agli utenti di aggiornare alla versione 4.2.1, che risolve questo problema.

Dettagli sul problema:
Diversi RPC di Hive Metastore risolvono le partizioni tramite il nome completo della partizione (PART_NAME) utilizzando helper di SQL diretto. In questi percorsi, i nomi di partizione forniti dal client vengono incorporati nel SQL tramite concatenazione di stringhe (DirectSqlUpdatePart.quoteString() → '...') anziché utilizzare parametri bind. Un nome di partizione contenente un apostrofo (e SQL manipolato) può modificare la clausola WHERE generata, facendo sì che le ricerche destinate a una partizione corrispondano a righe aggiuntive. Ciò può influenzare letture, aggiornamenti delle statistiche, obiettivi di troncamento, obiettivi di cache dei metadati e operazioni correlate quando metastore.try.direct.sql è abilitato (impostazione predefinita: true). Un chiamante autenticato o affidabile in rete, con la possibilità di invocare le API di nome di partizione di Hive Metastore contro una tabella di destinazione (direttamente o tramite Hive/altro client), quando la modalità di SQL diretto è abilitata, può eseguire questo attacco. Inoltre, l'impatto riguarda principalmente il targeting di tabelle e partizioni (lettura/aggiornamento/troncamento/eliminazione/cache delle partizioni sbagliate in una tabella di riferimento), e non l'accesso arbitrario tra database tramite questo bug da solo.