CVE-2026-48106
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Arc Enterprise przed wersją 26.06.1 w odbiorniku replikacji klastra waliduje tylko kopertę formatu wire (długość, opcode), a sam payload MsgReplicateSync jest akceptowany bez uwierzytelniania na poziomie aplikacji (brak HMAC, podpisu, nonce). Ochrona transportowa TLS/mTLS nie chroni przed manipulacją lub replayem na poziomie aplikacji. Problem naprawiono w wersji 2026.06.1.
Ocena ryzyka
Atakujący w sieci klastra może modyfikować lub powtarzać wiadomości replikacji, co może prowadzić do niespójności danych lub nieautoryzowanych zmian w bazie.
Rekomendacja
Zaktualizuj Arc do wersji 2026.06.1 lub nowszej. Ogranicz dostęp do sieci klastra tylko do zaufanych peerów, audytuj logi replikacji i rozważ wyłączenie trybu klastra do czasu aktualizacji.
Inne podatności w Arc
Zobacz wszystkie- CVE-2026-48105Wysokie
Arc Enterprise przed wersją 26.06.1 w Raft FSM akceptuje ścieżki plików wybrane przez atakującego w propozycjach rejestracji manifestu bez walidacji względem skonfigurowanego backendu. Jedynym sprawdzeniem jest niepustość ścieżki; brak odrzucania przejść nadrzędnych (..), listy dozwolonych prefiksów, ograniczeń schematu (s3:// vs lokalny) ani limitu długości. Problem naprawiono w wersji 2026.06.1.
- CVE-2026-48050Wysokie
Arc przed wersją 26.06.1 rejestruje handlery net/http/pprof pod /debug/pprof/* i dodaje /debug/pprof do PublicPrefixes, co powoduje, że endpointy są dostępne bez uwierzytelnienia. Wersja 26.06.1 zawiera poprawkę. Dostępne są obejścia, takie jak blokowanie /debug/pprof* na reverse proxy lub ograniczenie portu API do zaufanych sieci.
- CVE-2026-47735Wysokie
Arc przed wersją 26.06.1 w walidatorze SQL blokował tylko read_parquet( i arc_partition_agg( przez regex, pozostawiając inne funkcje DuckDB (read_csv, read_json, glob itp.) niezablokowane. RBAC sprawdzał tylko klauzule FROM/JOIN, więc funkcje skalarne w SELECT omijały zabezpieczenia. Poprawka w 26.06.1 wprowadza sandbox na poziomie DuckDB, który blokuje dostęp do plików spoza listy dozwolonych.
- CVE-2026-33922Średnie
W funkcji Offline archives lokalnego interfejsu webowego wykryto podatność na path traversal z powodu niewystarczającej walidacji parametru wejściowego. Lokalny użytkownik z uprawnieniami administracyjnymi do interfejsu webowego może przesłać nazwę archiwum zawierającą sekwencje traversal i usunąć dowolne pliki dostępne dla procesu Arc, który działa z uprawnieniami administracyjnymi na hoście.
Oryginalny opis (angielski, źródło NVD)
Arc is an open, SQL-native time-series database for telemetry. Prior to version 26.06.1, Arc Enterprise's cluster replication receiver at `internal/cluster/replication/receiver.go` validates only the wire-format envelope (length, opcode) of inbound messages. The `MsgReplicateSync` payload itself is accepted without any application-layer authentication — no HMAC, no signature, no per-message nonce. The replication stream is protected at the transport layer by TLS / mTLS, but there is no protection against application-layer message tampering or replay once a peer is on the cluster network. This is fixed in 2026.06.1. Some workarounds are available. Restrict cluster network access to known-trusted peers via strict firewall rules, audit replication logs for unexpected `MsgReplicateSync` traffic, and/or disable cluster mode until the fix is available.