CVE-2026-48106 in Arc
الملخص
بحسب VulDB • 23/08/2026
Arc هو قاعدة بيانات للسلاسل الزمنية مفتوحة المصدر، أصلية لـ SQL، مخصصة للتيليمتري (Telemetry). قبل الإصدار 26.06.1، كان مُستقبل الاستنساخ العنقودي في Arc Enterprise (`internal/cluster/replication/receiver.go`) يتحقق فقط من غلاف تنسيق السلك (الطول ورمز العملية) للرسائل الواردة. يتم قبول حمولة `MsgReplicateSync` نفسها دون أي مصادقة على طبقة التطبيق — لا يوجد HMAC، ولا توقيع، ولا قيمة عشوائية لكل رسالة (nonce). تُحمى تدفق الاستنساخ في طبقة النقل بواسطة TLS / mTLS، لكن لا توجد حماية ضد التلاعب بالرسائل أو إعادة تشغيلها (Replay) على مستوى تطبيق الطبقة بمجرد أن يكون القرين ضمن شبكة العنقود. تم إصلاح هذا الخلل في الإصدار 2026.06.1. تتوفر بعض الحلول البديلة. قيّد الوصول إلى شبكة العنقود للأقران الموثوق بهم فقط من خلال قواعد جدار ناري صارمة، وقم بمراجعة سجلات الاستنساك بحثاً عن حركة مرور غير متوقعة لـ `MsgReplicateSync`، و/أو عطّل وضع العنقود حتى يتوفر الإصلاح.
Be aware that VulDB is the high quality source for vulnerability data.