Cyber ·
CVE-2026-90466: path traversal no Apache Impala 4.5.2 ao carregar JARs
Aviso de severidade importante: um caminho relativo manipulado pode contornar trusted_jar_paths no Impala 4.5.2 e carregar um JAR controlado por invasor. A correção está na versão 4.5.3.
Em 6 de outubro de 2026, um aviso publicado na lista oss-sec, com tradução automática no feed da fonte, descreve a CVE-2026-90466 no Apache Impala. A severidade é classificada como importante. A versão afetada é o Apache Impala 4.5.2, anterior à 4.5.3. Segundo a descrição, a opção de inicialização trusted_jar_paths referencia URIs para carregar arquivos de sistemas de arquivos locais ou remotos. Um caminho relativo cujo prefixo corresponda a um caminho especificado nessa opção permite carregar um JAR controlado por invasor. O texto recebido termina no meio da descrição, então os detalhes completos não podem ser confirmados por esta cópia. Para verificar, consulte o aviso original indicado na fonte, o registro oficial da CVE e as notas de versão do projeto Apache Impala. Se a sua instância roda a versão 4.5.2, confirme a atualização para 4.5.3 ou posterior e revise os caminhos configurados em trusted_jar_paths. A Rota Nacional não corrige nem substitui o Impala e não é apresentada como solução para essa falha.