CVE-2026-65181
NieznaneStreszczenie
W Impala w wersjach od 2.7 do 4.5 występuje niewystarczająca autoryzacja tabel źródeł danych, co pozwala klientowi z uprawnieniami do przesyłania plików do zdalnego magazynu i tworzenia tabel na wykonanie dowolnego kodu Java. Zalecane jest uaktualnienie do wersji 4.5.2.
Ocena ryzyka
Atakujący z odpowiednimi uprawnieniami może wykonać dowolny kod Java, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj Impala do wersji 4.5.2 lub nowszej.
Inne podatności w Apache Impala
Zobacz wszystkie- CVE-2026-57866Nieznane
W Apache Impala w wersjach 4.4.x i 4.5.x występuje podatność na podrabianie żądań po stronie serwera (SSRF). Uwierzytelnieni użytkownicy Impala z uprawnieniami do wykonania funkcji ai_generate_text() mogą eksfiltrować sekrety dostarczane przez dostawców poświadczeń skonfigurowanych we właściwości hadoop.security.credential.provider.path w pliku core-site.xml. Klucz sekretu musi być znany użytkownikowi.
- CVE-2026-56207Nieznane
Podpis tokenu Bearer nie jest weryfikowany w ostatnim kroku uwierzytelniania SAML2 dla interfejsu hs2-http w Apache Impala, co pozwala na zmianę nazwy użytkownika i działanie w imieniu innego użytkownika. Problem dotyczy wersji Apache Impala >= 4.0.0.
- CVE-2026-54048Nieznane
Określenie tblproperties('avro.schema.url'=' http://...' ) lub z URI 'file:///' na tabeli w Impala 2.0.0 do 4.5.1 na wszystkich platformach pozwala atakującemu wywołać żądanie GET do wewnętrznych punktów końcowych, do których nie ma dostępu, ale Impala ma, a odpowiedź może być ujawniona poprzez komunikaty o błędach parsowania.
- CVE-2017-5640Krytyczne
W Apache Impala w wersjach od 2.7.0 do 2.8.0 zidentyfikowano podatność, która pozwala złośliwemu procesowi podszywać się pod demona Impala. Może to prowadzić do pominięcia kontroli uwierzytelniania, gdy Kerberos jest włączony, ale TLS nie jest używane.
Oryginalny opis (angielski, źródło NVD)
Insufficient authorization of Data Source tables in Impala 2.7-4.5 allows a client with privileges to upload a file to remote storage and create a table to execute arbitrary Java code. Users are recommended to upgrade to version 4.5.2, which fixes this issue.