| タイトル | Apache Hive における証明書検証に関する脆弱性 |
|---|---|
| 概要 | Apache Hive (JDBC + HiveServer2) には、証明書検証に関する脆弱性が存在します。 |
| 想定される影響 | 情報を改ざんされる可能性があります。 |
| 対策 | ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2016年3月10日0:00 |
| 登録日 | 2017年6月20日13:57 |
| 最終更新日 | 2017年6月20日13:57 |
| CVSS3.0 : 重要 | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
| CVSS2.0 : 警告 | |
| スコア | 5 |
|---|---|
| ベクター | AV:N/AC:L/Au:N/C:N/I:P/A:N |
| Apache Software Foundation |
| Apache Hive 1.2.2 未満 |
| Apache Hive 2.0.1 未満の 2.0.x |
| No | 変更内容 | 変更日 |
|---|---|---|
| 0 | [2017年06月20日] 掲載 |
2018年2月17日10:37 |
| 概要 | Apache Hive (JDBC + HiveServer2) implements SSL for plain TCP and HTTP connections (it supports both transport modes). While validating the server's certificate during the connection setup, the client in Apache Hive before 1.2.2 and 2.0.x before 2.0.1 doesn't seem to be verifying the common name attribute of the certificate. In this way, if a JDBC client sends an SSL request to server abc.com, and the server responds with a valid certificate (certified by CA) but issued to xyz.com, the client will accept that as a valid certificate and the SSL handshake will go through. |
|---|---|
| 公表日 | 2017年5月30日23:29 |
| 登録日 | 2021年1月26日14:10 |
| 最終更新日 | 2024年11月21日11:49 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:apache:hive:0.13.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:hive:1.1.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:hive:1.1.0:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:hive:1.0.0:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:hive:1.2.0:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:hive:0.14.0:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:hive:1.2.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:hive:1.0.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:hive:0.13.0:*:*:*:*:*:*:* | |||||