Apache Airflow Hive Provider Beeline 远程代码执行漏洞（CVE-2023-35797）[有POC]

漏洞类型	代码注入	发现时间	2023/7/2	漏洞等级	高危
MPS编号	MPS-gyzv-dxst	CVE编号	CVE-2023-35797	漏洞影响广度	广

目录隐藏

2 影响范围及处置方案

2.1 OSCS 平台影响范围和处置方案

3 排查方式

漏洞危害

OSCS 描述

Airflow Hive Provider 是 Apache Airflow 与 Apache Hive 集成的插件。Beeline 是 Hive 客户端与服务器进行交互的命令行工具。Airflow Apache Hive Provider 6.1.1 版本中由于 hive#_prepare_cli_cmd 方法未修改对用户参数的正确过滤，具有 Hive 连接参数权限的攻击者可包含分号(‘;’)的恶意负载注入到 extra_dejson 参数的主体值中，从而在Hive服务器远程执行任意命令。
参考链接：https://www.oscs1024.com/hd/MPS-gyzv-dxst

Apache Pony Mail 描述

Apache Software Foundation Apache Airflow Hive Provider 中存在不正确的输入验证漏洞。此问题影响 Apache Airflow Apache Hive Provider：6.1.1 之前的版本。在版本 6.1.1 之前，可以通过以下方式绕过 RCE 安全检查主要参数。要利用此漏洞，需要修改连接详细信息。建议将提供程序版本更新至6.1.1以避免此漏洞。
参考链接：https://lists.apache.org/thread/30y19ok07fw52x5hnkbhwqo3ho0wwc1y

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围	处置方式	处置方法
apache-airflow-providers-apache-hive@[1.0.0, 6.1.1)	更新	升级apache-airflow-providers-apache-hive到 6.1.1 或更高版本
apache-airflow-providers-apache-hive@[1.0.0, 6.1.1)	补丁	官方已发布漏洞补丁：https://github.com/apache/airflow/commit/fc7bb05289c9949fcee5e9168e4467e95cdf2c87
参考链接：https://www.oscs1024.com/hd/MPS-gyzv-dxst

Apache Pony Mail 平台影响范围和处置方案

影响范围	处置方式	处置方法
Apache Airflow Apache Hive Provider before 6.1.1	更新	升级apache-airflow-providers-apache-hive到 6.1.1 或更高版本
参考链接：https://lists.apache.org/thread/30y19ok07fw52x5hnkbhwqo3ho0wwc1y