CVE-2026-65181

W Apache Impala do wersji 4.5.2 włącznie występuje nieprawidłowa implementacja uwierzytelniania JWT/OAuth w executorach, która pozwala atakującym na dostęp do zasobów serwowanych przez webserver executora, gdy ten jest skonfigurowany do akceptowania tokenów JWT/OAuth. Podpisy tokenów Bearer (JWT) nie są weryfikowane, co powoduje, że webserver akceptuje każdy ważny JWT.

Podpis tokenu Bearer nie jest weryfikowany w ostatnim kroku uwierzytelniania SAML2 dla interfejsu hs2-http w Apache Impala, co pozwala na zmianę nazwy użytkownika i działanie w imieniu innego użytkownika. Problem dotyczy wersji Apache Impala >= 4.0.0.

W Apache Impala w wersjach od 2.7.0 do 2.8.0 zidentyfikowano podatność, która pozwala złośliwemu procesowi podszywać się pod demona Impala. Może to prowadzić do pominięcia kontroli uwierzytelniania, gdy Kerberos jest włączony, ale TLS nie jest używane.

Użytkownik SQL w Impala do wersji 4.5.2 włącznie, posiadający tylko uprawnienie SELECT, może umieścić JavaScript w aliasie tabeli i spowodować jego wykonanie w przeglądarce innego użytkownika, gdy ten otworzy plan zapytania w Web UI Impala. Jest to przechowywany XSS (CWE-79).

W Impala 4.5.2 występuje podatność polegająca na przechodzeniu ścieżek (path traversal) w 'trusted_jar_paths', która pozwala na załadowanie kontrolowanego przez atakującego JAR-a poprzez względną ścieżkę, gdzie prefiks pasuje do ścieżki określonej w 'trusted_jar_paths'. Atak wymaga, aby 'trusted_jar_paths' miało niepustą wartość skonfigurowaną przez administratora.

W Apache Impala w wersjach 4.4.x i 4.5.x występuje podatność na podrabianie żądań po stronie serwera (SSRF). Uwierzytelnieni użytkownicy Impala z uprawnieniami do wykonania funkcji ai_generate_text() mogą eksfiltrować sekrety dostarczane przez dostawców poświadczeń skonfigurowanych we właściwości hadoop.security.credential.provider.path w pliku core-site.xml. Klucz sekretu musi być znany użytkownikowi.

Określenie tblproperties('avro.schema.url'=' http://...' ) lub z URI 'file:///' na tabeli w Impala 2.0.0 do 4.5.1 na wszystkich platformach pozwala atakującemu wywołać żądanie GET do wewnętrznych punktów końcowych, do których nie ma dostępu, ale Impala ma, a odpowiedź może być ujawniona poprzez komunikaty o błędach parsowania.