CVE-2026-55098
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w bazie czasu rzeczywistego Arc pozwala na obejście autoryzacji między bazami danych poprzez funkcje I/O DuckDB, takie jak parquet_scan, glob, read_csv_auto i inne, które nie są blokowane przez listę denylist. Poprzednia poprawka CVE-2026-47735 nie obejmowała tych aliasów i funkcji, umożliwiając nieautoryzowany dostęp do danych, schematów i statystyk innych baz w ramach dozwolonego katalogu głównego.
Ocena ryzyka
Organizacja może doświadczyć nieautoryzowanego dostępu do danych telemetrycznych innych dzierżawców, ich schematów i statystyk, co narusza izolację wielodostępną i może prowadzić do wycieku informacji.
Rekomendacja
Należy natychmiast zaktualizować Arc do wersji 26.06.2 lub nowszej, która zawiera poprawkę blokującą niebezpieczne funkcje I/O DuckDB. Dodatkowo zaleca się weryfikację, czy żadne nieautoryzowane zapytania nie zostały wykonane przed aktualizacją.
Inne podatności w Arc
Zobacz wszystkie- CVE-2026-94181Wysokie
Przeglądarka Arc w podatnych wersjach zawiera lukę umożliwiającą fałszowanie paska adresu. Atakujący może wykorzystać element <select> wywołujący requestFullscreen bez wyświetlenia powiadomienia o trybie pełnoekranowym, aby podszyć się pod pasek adresu.
- CVE-2026-48106Wysokie
Arc Enterprise przed wersją 26.06.1 w odbiorniku replikacji klastra waliduje tylko kopertę formatu wire (długość, opcode), a sam payload MsgReplicateSync jest akceptowany bez uwierzytelniania na poziomie aplikacji (brak HMAC, podpisu, nonce). Ochrona transportowa TLS/mTLS nie chroni przed manipulacją lub replayem na poziomie aplikacji. Problem naprawiono w wersji 2026.06.1.
- CVE-2026-48105Wysokie
Arc Enterprise przed wersją 26.06.1 w Raft FSM akceptuje ścieżki plików wybrane przez atakującego w propozycjach rejestracji manifestu bez walidacji względem skonfigurowanego backendu. Jedynym sprawdzeniem jest niepustość ścieżki; brak odrzucania przejść nadrzędnych (..), listy dozwolonych prefiksów, ograniczeń schematu (s3:// vs lokalny) ani limitu długości. Problem naprawiono w wersji 2026.06.1.
- CVE-2026-48050Wysokie
Arc przed wersją 26.06.1 rejestruje handlery net/http/pprof pod /debug/pprof/* i dodaje /debug/pprof do PublicPrefixes, co powoduje, że endpointy są dostępne bez uwierzytelnienia. Wersja 26.06.1 zawiera poprawkę. Dostępne są obejścia, takie jak blokowanie /debug/pprof* na reverse proxy lub ograniczenie portu API do zaufanych sieci.
- CVE-2026-47735Wysokie
Arc przed wersją 26.06.1 w walidatorze SQL blokował tylko read_parquet( i arc_partition_agg( przez regex, pozostawiając inne funkcje DuckDB (read_csv, read_json, glob itp.) niezablokowane. RBAC sprawdzał tylko klauzule FROM/JOIN, więc funkcje skalarne w SELECT omijały zabezpieczenia. Poprawka w 26.06.1 wprowadza sandbox na poziomie DuckDB, który blokuje dostęp do plików spoza listy dozwolonych.
- CVE-2026-33922Średnie
W funkcji Offline archives lokalnego interfejsu webowego wykryto podatność na path traversal z powodu niewystarczającej walidacji parametru wejściowego. Lokalny użytkownik z uprawnieniami administracyjnymi do interfejsu webowego może przesłać nazwę archiwum zawierającą sekwencje traversal i usunąć dowolne pliki dostępne dla procesu Arc, który działa z uprawnieniami administracyjnymi na hoście.
Oryginalny opis (angielski, źródło NVD)
Arc is an open, SQL-native time-series database for telemetry. Prior to the repository-verified 26.06.2 repair, the remediation of `CVE-2026-47735` leaves a cross-database authorization bypass through DuckDB table-valued I/O functions. In `internal/database/sandbox.go`, `allowed_directories` uses `cfg.LocalStorageRoot`, configured by `storage.local_path`, while `enable_external_access=false` blocks access outside that entire multi-tenant root. `GetStoragePath` in `internal/storage/util.go` stores all databases beneath it. In `internal/api/query.go`, `extractTableReferences` skips names followed by an opening parenthesis and `checkQueryPermissions` allows queries with no extracted table references, including tokens with `permissions: []`. The `userSQLReadParquetPattern` denylist catches literal `read_parquet(` and the earlier protection also blocks `arc_partition_agg(`, but misses the `parquet_scan` alias and `glob`, `parquet_metadata`, `parquet_schema`, `read_blob`, `read_csv_auto`, `read_json` and `read_text`. A request to `POST /api/v1/query` using these unblocked functions passes `ValidateSQLRequest` and `convertSQLToStoragePaths` without tenant authorization, allowing reads and enumeration of other databases' time-series data, schema and per-column value-range statistics within the allowlisted root. The sandbox still blocks out-of-root OS files and HTTP SSRF, and the sibling SQLite token database outside the root is not exposed by this mechanism. The earlier 26.06.1 remediation does not comprehensively deny these I/O functions. Repository tag 26.06.2 contains the I/O-function repair and supplies the provisional remediation boundary; conflicting advisory affected-version statements require curator adjudication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS