CVE-2026-54048
NieznaneStreszczenie
Określenie tblproperties('avro.schema.url'=' http://...' ) lub z URI 'file:///' na tabeli w Impala 2.0.0 do 4.5.1 na wszystkich platformach pozwala atakującemu wywołać żądanie GET do wewnętrznych punktów końcowych, do których nie ma dostępu, ale Impala ma, a odpowiedź może być ujawniona poprzez komunikaty o błędach parsowania.
Ocena ryzyka
Atakujący może uzyskać informacje z wewnętrznych zasobów, do których nie powinien mieć dostępu, co może prowadzić do wycieku danych lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację do wersji 4.5.2, która naprawia ten problem.
Inne podatności w Apache Impala
Zobacz wszystkie- CVE-2026-65181Nieznane
W Impala w wersjach od 2.7 do 4.5 występuje niewystarczająca autoryzacja tabel źródeł danych, co pozwala klientowi z uprawnieniami do przesyłania plików do zdalnego magazynu i tworzenia tabel na wykonanie dowolnego kodu Java. Zalecane jest uaktualnienie do wersji 4.5.2.
- CVE-2026-57866Nieznane
W Apache Impala w wersjach 4.4.x i 4.5.x występuje podatność na podrabianie żądań po stronie serwera (SSRF). Uwierzytelnieni użytkownicy Impala z uprawnieniami do wykonania funkcji ai_generate_text() mogą eksfiltrować sekrety dostarczane przez dostawców poświadczeń skonfigurowanych we właściwości hadoop.security.credential.provider.path w pliku core-site.xml. Klucz sekretu musi być znany użytkownikowi.
- CVE-2026-56207Nieznane
Podpis tokenu Bearer nie jest weryfikowany w ostatnim kroku uwierzytelniania SAML2 dla interfejsu hs2-http w Apache Impala, co pozwala na zmianę nazwy użytkownika i działanie w imieniu innego użytkownika. Problem dotyczy wersji Apache Impala >= 4.0.0.
- CVE-2017-5640Krytyczne
W Apache Impala w wersjach od 2.7.0 do 2.8.0 zidentyfikowano podatność, która pozwala złośliwemu procesowi podszywać się pod demona Impala. Może to prowadzić do pominięcia kontroli uwierzytelniania, gdy Kerberos jest włączony, ale TLS nie jest używane.
Oryginalny opis (angielski, źródło NVD)
Specifying tblproperties('avro.schema.url'=' http://...' ) or with a 'file:///' URI on a table in Impala 2.0.0 to 4.5.1 on all platforms allows an attacker to trigger a GET request to internal endpoints they may not have access to but that Impala does and the response my be exposed via parsing error messages. Users are recommended to upgrade to version 4.5.2, which fixes this issue.