CVE-2026-55678 in Arc
Zusammenfassung
von VulDB • 29.08.2026
Arc ist eine offene, SQL-native Time-Series-Datenbank für Telemetriedaten. Vom 26.02.1 bis zum 26.06.2 akzeptiert Arc Enterprise Clustering Cluster-Beitrittsanfragen ohne Authentifizierung, wenn cluster.enabled auf true gesetzt ist, aber cluster.shared_secret nicht konfiguriert ist. Die Standardwerte in internal/config/config.go setzen cluster.enabled auf false, cluster.cluster_name auf arc-cluster, cluster.coordinator_addr auf :9100, cluster.shared_secret auf einen leeren Wert und cluster.tls_enabled auf false, während cmd/arc/main.go cluster.shared_secret nur dann erfordert, wenn cluster.replication_enabled true ist. JoinRequest in internal/cluster/protocol/messages.go akzeptiert angreiferkontrollierte Werte für node_id, role, raft_addr, api_addr und coord_addr sowie optionale Felder auth_nonce, auth_timestamp und auth_hmac. Der Beitritts-Pfad in internal/cluster/coordinator.go validiert die HMAC-Authentifizierung nur dann, wenn das konfigurierte shared_secret nicht leer ist, und fährt andernfalls nach einer einzigen Cluster-Namen-Prüfung fort. Ein akzeptierter Knoten wird als gesund markiert, entweder als Raft-Wähler hinzugefügt oder lokal registriert und steht über internal/cluster/registry.go der Routing-Logik in internal/cluster/router.go zur Verfügung. Der forwardRequest-Pfad in internal/cluster/router.go erstellt sein Ziel aus node.APIAddress und kopiert die Header Authorization und x-api-key mit der Anfrage, sodass ein für eine weitergeleitete Abfrage oder Schreiboperation ausgewählter böswilliger Knoten Authentifizierungs-Header, Anforderungstexte, Datenbank- und Messnamensangaben sowie operative Metadaten empfangen kann. Heartbeat in internal/cluster/protocol/messages.go enthält ebenfalls keine HMAC-Felder, und internal/cluster/coordinator.go aktualisiert den Knotenzustand aus bereitgestellten node_id- und state-Werten ohne Authentifizierung. Ein nicht authentifizierter Netzwerkangreifer, der auf den Coordinator-Port zugreifen kann und den Cluster-Namen kennt, kann daher zu einem vertrauenswürdigen Clustering-Knoten werden, die Cluster-Mitgliedschaft ändern, als Raft-Wähler eingereicht werden, weitergeleitete an die Topologie gebundene Anfragen abfangen, Operationen umleiten oder fälschen sowie Traffic blackholen oder verzögern. Die Standard-Single-Node-Konfiguration ist nicht erreichbar, da cluster.enabled false ist, aber Enterprise-Cluster-Bereitstellungen mit aktiviertem Clustering und ohne shared_secret sind betroffen. Dieses Problem wurde in Version 26.06.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.