CVE-2026-55678 in Arc
الملخص
بحسب VulDB • 29/08/2026
Arc هو قاعدة بيانات للسلاسل الزمنية مفتوحة المصدر ومخصصة لـ SQL موجهة للتيليمتري (Telemetry). من تاريخ 26/02/1 وحتى 26/06/2، تقبل تجميعات Arc Enterprise طلبات الانضمام إلى العنقود دون المصادقة عندما تكون `cluster.enabled` مضبوطة على true ولكن لم يتم تكوين `cluster.shared_secret`. تضبط القيم الافتراضية في `internal/config/config.go` قيمة `cluster.enabled` على false، وقيمة `cluster.cluster_name` على arc-cluster، وقيمة `cluster.coordinator_addr` على :9100، وقيمة `cluster.shared_secret` على فارغ، وقيمة `cluster.tls_enabled` على false، بينما يتطلب الملف `cmd/arc/main.go` وجود قيمة لـ `cluster.shared_secret` فقط عندما تكون `cluster.replication_enabled` مضبوطة على true. تقبل دالة JoinRequest في `internal/cluster/protocol/messages.go` قيمًا يتحكم فيها المهاجم لكل من node_id و role و raft_addr و api_addr و coord_addr، بالإضافة إلى حقول اختيارية مثل auth_nonce و auth_timestamp و auth_hmac. مسار الانضمام (join path) الموجود في `internal/cluster/coordinator.go` يصادق على التوقيع الرقمي HMAC فقط عندما تكون السرية المشتركة المكونة غير فارغة، وإلا فإنه يتابع العملية بعد التحقق من اسم العنقود فحسب. يتم تحديد العقدة المقبولة بأنها سليمة (healthy)، وتُضاف كصوت Raft أو تُسجل محليًا، وتصير متاحة عبر `internal/cluster/registry.go` لمنطق التوجيه الموجود في `internal/cluster/router.go`. يبني مسار forwardRequest في `internal/cluster/router.go` هدفه من node.APIAddress وينسخ رؤوس Authorization و x-api-key مع الطلب؛ لذا يمكن لعقدة خبيثة يتم اختيارها لاستعلام أو عملية كتابة مُوجَّهة أن تتلقى رؤوس المصادقة، وأجسام الطلبات، وأسماء قواعد البيانات والقياسات (measurements)، والبيانات الوصفية التشغيلية. تفتقر دالة Heartbeat في `internal/cluster/protocol/messages.go` أيضًا إلى حقول HMAC، ويحدث `internal/cluster/coordinator.go` حالة العقدة بناءً على قيم node_id و state المقدمة دون مصادقة. وبالتالي، يمكن لمهاجم عبر الشبكة غير المصادق عليه والذي يستطيع الوصول إلى منفذ المنسق (coordinator) ويعرف اسم العنقود أن يصبح عقدة موثوقة في العنقود، وأن يغير عضوية العنقود، ويُقدَّم كصوت Raft، ويقوم باعتراض الطلبات المُوجَّهة المعتمدة على طوبولوجيا الشبكة، أو يحيد العمليات أو يزورها (forge)، ويسبب حجبًا للحركة المرورية (blackhole) أو تأخيرها. لا يمكن الوصول إلى التكوين المستقل الافتراضي لأن `cluster.enabled` مضبوطة على false، لكن عمليات نشر Enterprise Cluster التي يكون فيها التجميع مفعلاً ولا توجد لها سرية مشتركة تتأثر بهذه المشكلة. تم إصلاح هذه الثغرة في الإصدار 26.06.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.