CVE-2026-56207

W Apache Impala do wersji 4.5.2 włącznie występuje nieprawidłowa implementacja uwierzytelniania JWT/OAuth w executorach, która pozwala atakującym na dostęp do zasobów serwowanych przez webserver executora, gdy ten jest skonfigurowany do akceptowania tokenów JWT/OAuth. Podpisy tokenów Bearer (JWT) nie są weryfikowane, co powoduje, że webserver akceptuje każdy ważny JWT.

W Apache Impala w wersjach od 2.7.0 do 2.8.0 zidentyfikowano podatność, która pozwala złośliwemu procesowi podszywać się pod demona Impala. Może to prowadzić do pominięcia kontroli uwierzytelniania, gdy Kerberos jest włączony, ale TLS nie jest używane.

Użytkownik SQL w Impala do wersji 4.5.2 włącznie, posiadający tylko uprawnienie SELECT, może umieścić JavaScript w aliasie tabeli i spowodować jego wykonanie w przeglądarce innego użytkownika, gdy ten otworzy plan zapytania w Web UI Impala. Jest to przechowywany XSS (CWE-79).

W Impala 4.5.2 występuje podatność polegająca na przechodzeniu ścieżek (path traversal) w 'trusted_jar_paths', która pozwala na załadowanie kontrolowanego przez atakującego JAR-a poprzez względną ścieżkę, gdzie prefiks pasuje do ścieżki określonej w 'trusted_jar_paths'. Atak wymaga, aby 'trusted_jar_paths' miało niepustą wartość skonfigurowaną przez administratora.

W Impala w wersjach od 2.7 do 4.5 występuje niewystarczająca autoryzacja tabel źródeł danych, co pozwala klientowi z uprawnieniami do przesyłania plików do zdalnego magazynu i tworzenia tabel na wykonanie dowolnego kodu Java. Zalecane jest uaktualnienie do wersji 4.5.2.

W Apache Impala w wersjach 4.4.x i 4.5.x występuje podatność na podrabianie żądań po stronie serwera (SSRF). Uwierzytelnieni użytkownicy Impala z uprawnieniami do wykonania funkcji ai_generate_text() mogą eksfiltrować sekrety dostarczane przez dostawców poświadczeń skonfigurowanych we właściwości hadoop.security.credential.provider.path w pliku core-site.xml. Klucz sekretu musi być znany użytkownikowi.

Określenie tblproperties('avro.schema.url'=' http://...' ) lub z URI 'file:///' na tabeli w Impala 2.0.0 do 4.5.1 na wszystkich platformach pozwala atakującemu wywołać żądanie GET do wewnętrznych punktów końcowych, do których nie ma dostępu, ale Impala ma, a odpowiedź może być ujawniona poprzez komunikaty o błędach parsowania.