Vulnerabilidad en Snowflake Hive (CVE-2024-28851)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-269 Gestión de privilegios incorrecta

Fecha de publicación:

15/03/2024

Última modificación:

09/04/2025

Descripción

El conector de metastore de Snowflake Hive proporciona una forma sencilla de consultar datos administrados por Hive a través de Snowflake. Snowflake Hive MetaStore Connector ha abordado una posible vulnerabilidad de elevación de privilegios en un "script de ayuda" para Hive MetaStore Connector. En teoría, un usuario interno malicioso sin privilegios de administrador podría usar el script para descargar contenido de un dominio de Microsoft al sistema local y reemplazar el contenido válido con código malicioso. Si el atacante también tuviera acceso local al mismo sistema donde se ejecuta el script modificado maliciosamente, podría intentar manipular a los usuarios para que ejecuten el script auxiliar controlado por el atacante, obteniendo potencialmente privilegios elevados para el sistema local. La vulnerabilidad en el script se corrigió el 9 de febrero de 2024, sin un aumento de versión en el Conector. Se recomienda encarecidamente a los usuarios que utilicen el script auxiliar que utilicen la última versión lo antes posible. Los usuarios que no puedan actualizar deben evitar utilizar el script de ayuda.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno