Apache Hive: Kritische SQL-Injection in Hive Metastore gefährdet Partition-Metadaten

Kurzfassung

Apache Hive ist von einer kritischen SQL-Injection im Hive Metastore betroffen. Die Lücke trägt die Kennung CVE-2026-49845 und trifft Versionen vor 4.2.1, sofern Direct SQL aktiviert ist. Das ist in der Praxis der Regelfall, weil diese Funktion standardmäßig an ist.

Angreifer brauchen dafür kein Gastkonto, aber einen authentifizierten Zugriff auf die Metastore-APIs oder einen Weg über Hive-Clients, die diese Aufrufe auslösen. Wer so an die Schnittstelle kommt, kann Partition-Metadaten beeinflussen und damit Abfragen, Statistikwerte oder Löschziele auf die falschen Daten lenken.

Was ist passiert?

Im Hive Metastore werden Partitionsnamen in bestimmten RPC-Pfaden direkt in SQL-Statements eingebaut. Statt sauberer Bind-Parameter verwendet der betroffene Code String-Verkettung. Ein präparierter Partitionsname mit Anführungszeichen und SQL-Anteilen kann dadurch die WHERE-Klausel verändern.

Der Effekt bleibt auf Tabellen und Partitionen beschränkt, auf die der Angreifer ohnehin Zugriff über die Metastore-API hat. Es geht also nicht um einen freien Sprung in andere Datenbanken. Aber innerhalb der referenzierten Tabelle kann der Schaden erheblich sein.

Technische Details

Die Schwachstelle sitzt in der direkten SQL-Auflösung von Partitionsnamen im Hive Metastore. Mehrere RPCs nutzen dafür Hilfsfunktionen, die den vom Client gelieferten Namen ohne Parameterbindung in SQL einsetzen. Dadurch wird aus einem legitimen Lookup ein manipulierbares Statement.

Die Folge: Eine Abfrage, die nur eine Partition treffen sollte, kann plötzlich weitere Zeilen erfassen. Das wirkt sich auf Lesefunktionen ebenso aus wie auf Statistik-Updates, Truncate-Ziele und Metadaten-Cache-Operationen. Der Metastore kann also die falschen Partitionen lesen, ändern oder löschen helfen.

Nach Angaben der Quelle ist metastore.try.direct.sql standardmäßig auf true gesetzt. Genau das macht die Lücke im Alltag relevant. Wer die Funktion deaktiviert hat, reduziert das Risiko; ob das im jeweiligen Cluster ohne Nebenwirkungen möglich ist, muss lokal geprüft werden.

Wer ist betroffen?

Betroffen sind Apache-Hive-Installationen vor Version 4.2.1. Entscheidend ist außerdem, dass der Metastore Direct SQL verwendet. Das ist bei Standardkonfigurationen sehr wahrscheinlich.

Für Unternehmen im DACH-Raum ist das vor allem dann kritisch, wenn Hive als Teil von Data-Lake-, Analytics- oder ETL-Umgebungen läuft. Dort hängen oft mehrere Teams und Jobs an denselben Metadaten. Ein falscher Partitionstreffer kann dann Berichte verfälschen, Wartungsjobs auf die falschen Daten loslassen oder Bereinigungen beschädigen.

Privatanwender sind hier praktisch nicht Zielgruppe. Es geht um Server- und Plattformbetrieb in Unternehmensumgebungen, nicht um Consumer-Software.

Empfohlene Maßnahmen

Wer Apache Hive einsetzt, sollte zuerst die Version prüfen und auf 4.2.1 oder höher gehen. Das ist die klare Priorität. Alles andere ist nur ein Zwischenpflaster.

Bis zum Update lohnt ein Blick auf die Metastore-Konfiguration. Wenn Direct SQL nicht zwingend gebraucht wird, kann eine Deaktivierung das Risiko senken. Wer diesen Weg wählt, sollte die Auswirkungen auf Performance und Funktion vorher in einer Testumgebung prüfen.

Außerdem gehört die Zugriffsfläche auf den Metastore eng gezogen. Nur notwendige Systeme und Dienstkonten sollten die APIs erreichen. Logs auf auffällige Partitionsnamen oder ungewöhnliche Metastore-Aufrufe zu prüfen, ist ebenfalls sinnvoll, auch wenn das keine vollständige Kompensation ersetzt.

Einschätzung von CyberSecurity-News.de

Die Lücke ist fachlich ernst und operativ unangenehm. Kritisch ist vor allem, dass die Angriffsfläche tief im Metadatenkern sitzt und die Standardkonfiguration offenbar direkt betroffen ist. Das macht die Schwachstelle in produktiven Hadoop- und Hive-Umgebungen relevanter als viele rein theoretische SQL-Injections.

Die Informationslage ist allerdings klarer bei der Technik als beim realen Ausnutzungsbild. Aus der Quelle geht kein aktiver Missbrauch hervor. Auch bleibt offen, wie viele Betreiber Direct SQL bewusst abgeschaltet haben. Wer Hive produktiv betreibt, sollte sich trotzdem nicht an dieser Unsicherheit festhalten. Patchen hat hier Vorrang.

Fazit

CVE-2026-49845 ist kein Randproblem, sondern eine kritische Schwachstelle in einem zentralen Metastore-Pfad von Apache Hive. Betroffen sind vor allem Unternehmen, die auf Hive für Datenplattformen und Metadatenverwaltung setzen. Für sie gilt: Version prüfen, auf 4.2.1 aktualisieren und die Metastore-Anbindung sofort bewerten.

Wer Hive im Cluster hat, sollte heute noch nachsehen, ob Direct SQL aktiv ist und ob ein Update kurzfristig eingespielt werden kann. Je länger die Plattform mit der Lücke läuft, desto größer wird das Risiko für falsche Partitionstreffer und beschädigte Metadaten.