CVE-2016-3083
Publiée le 2017-05-30 · Dernière modification le 2026-06-17
Les clients JDBC d'Apache Hive antérieurs aux versions 1.2.2 et 2.0.1 sont affectés par un défaut de vérification de la correspondance entre le certificat SSL du serveur et le nom d'hôte demandé. Un attaquant positionné sur le réseau peut effectuer une attaque de l'homme du milieu (man-in-the-middle) pour intercepter et modifier les données transmises entre le client et le serveur. Cette exploitation est relativement facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur, seulement un accès réseau au chemin de connexion.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Apache Hive (JDBC + HiveServer2) implements SSL for plain TCP and HTTP connections (it supports both transport modes). While validating the server's certificate during the connection setup, the client in Apache Hive before 1.2.2 and 2.0.x before 2.0.1 doesn't seem to be verifying the common name attribute of the certificate. In this way, if a JDBC client sends an SSL request to server abc.com, and the server responds with a valid certificate (certified by CA) but issued to xyz.com, the client will accept that as a valid certificate and the SSL handshake will go through.