CVE-2026-48105 in Arc
Zusammenfassung
von VulDB • 22.08.2026
Arc ist eine offene, SQL-native Zeitreihendatenbank für Telemetriedaten. Vor Version 26.06.1 akzeptiert Arc Enterprise's Raft FSM (`internal/cluster/raft/fsm.go:applyRegisterFile`) angreiferausgewählte Dateipfade in Manifest-Registrierungsvorschlägen, ohne diese gegen den konfigurierten Speicherbackend zu validieren. Die einzige Prüfung besteht darin, dass der Pfad nicht leer ist. Es gibt keine Ablehnung von Parent-Traversals (`..`), keine Allowlist für legitime Präfixe, keine Schemaeinschränkung (z. B. `s3://` vs. lokal) und keine Längenbegrenzung. Dies wurde in 2026.06.1 behoben. Es sind einige Workarounds verfügbar. Beschränken Sie den Cluster-Netzwerkzugriff auf bekannte, vertrauenswürdige Peers über strenge Firewall-Regeln, prüfen Sie das Cluster-Manifest auf unerwartete Pfade (jeder Pfad, der nicht mit dem Stammverzeichnis des konfigurierten Speicherbackends übereinstimmt, ist verdächtig) und/oder deaktivieren Sie den Cluster-Modus, bis die Korrektur verfügbar ist.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.