CVE-2026-47735
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Arc przed wersją 26.06.1 w walidatorze SQL blokował tylko read_parquet( i arc_partition_agg( przez regex, pozostawiając inne funkcje DuckDB (read_csv, read_json, glob itp.) niezablokowane. RBAC sprawdzał tylko klauzule FROM/JOIN, więc funkcje skalarne w SELECT omijały zabezpieczenia. Poprawka w 26.06.1 wprowadza sandbox na poziomie DuckDB, który blokuje dostęp do plików spoza listy dozwolonych.
Ocena ryzyka
Atakujący może wykorzystać funkcje DuckDB do odczytu dowolnych plików z systemu, co może prowadzić do wycieku poufnych danych lub naruszenia integralności.
Rekomendacja
Zaktualizuj Arc do wersji 26.06.1 lub nowszej. Ogranicz dostęp do API do zaufanych sieci lub tymczasowo dodaj read_csv*, read_json*, glob itp. do dangerousSQLPattern w internal/api/query.go.
Inne podatności w Arc
Zobacz wszystkie- CVE-2026-48106Wysokie
Arc Enterprise przed wersją 26.06.1 w odbiorniku replikacji klastra waliduje tylko kopertę formatu wire (długość, opcode), a sam payload MsgReplicateSync jest akceptowany bez uwierzytelniania na poziomie aplikacji (brak HMAC, podpisu, nonce). Ochrona transportowa TLS/mTLS nie chroni przed manipulacją lub replayem na poziomie aplikacji. Problem naprawiono w wersji 2026.06.1.
- CVE-2026-48105Wysokie
Arc Enterprise przed wersją 26.06.1 w Raft FSM akceptuje ścieżki plików wybrane przez atakującego w propozycjach rejestracji manifestu bez walidacji względem skonfigurowanego backendu. Jedynym sprawdzeniem jest niepustość ścieżki; brak odrzucania przejść nadrzędnych (..), listy dozwolonych prefiksów, ograniczeń schematu (s3:// vs lokalny) ani limitu długości. Problem naprawiono w wersji 2026.06.1.
- CVE-2026-48050Wysokie
Arc przed wersją 26.06.1 rejestruje handlery net/http/pprof pod /debug/pprof/* i dodaje /debug/pprof do PublicPrefixes, co powoduje, że endpointy są dostępne bez uwierzytelnienia. Wersja 26.06.1 zawiera poprawkę. Dostępne są obejścia, takie jak blokowanie /debug/pprof* na reverse proxy lub ograniczenie portu API do zaufanych sieci.
- CVE-2026-33922Średnie
W funkcji Offline archives lokalnego interfejsu webowego wykryto podatność na path traversal z powodu niewystarczającej walidacji parametru wejściowego. Lokalny użytkownik z uprawnieniami administracyjnymi do interfejsu webowego może przesłać nazwę archiwum zawierającą sekwencje traversal i usunąć dowolne pliki dostępne dla procesu Arc, który działa z uprawnieniami administracyjnymi na hoście.
Oryginalny opis (angielski, źródło NVD)
Arc is an open, SQL-native time-series database for telemetry. Prior to version 26.06.1, Arc's user-SQL validator (`internal/api/query.go:ValidateSQLRequest`) blocked only `read_parquet(` and `arc_partition_agg(` via regex denylist. The broader DuckDB I/O function family — `read_csv_auto`, `read_csv`, `read_json`, `read_json_auto`, `read_text`, `read_blob`, `glob`, `parquet_metadata`, `parquet_schema`, `read_xlsx`, etc. — was not blocked. RBAC table-reference extraction inspected only `FROM`/`JOIN` clauses, so scalar table functions in the `SELECT` list slipped past both layers. This is fixed in 2026.06.1 via a structural sandbox at the DuckDB layer. After lockdown, DuckDB refuses to open any file outside the allowlist and refuses further `INSTALL`/`LOAD`. Already-loaded extensions remain callable. Some workarounds are available. Restrict API access to known-trusted networks via firewall rules or, as a temporary mitigation, add `read_csv*`/`read_json*`/`glob` etc. to `dangerousSQLPattern` in `internal/api/query.go`.