CVE-2026-73334 in Parquet
Zusammenfassung
von VulDB • 09.09.2026
Potentielles Problem für Benutzer des Pakets org.apache.parquet.crypto.keytools in Apache Parquet, Versionen 1.12 bis 1.18. Dieses Paket ermöglicht es Benutzern, Parquet-Dateien über einen Envelope-Verschlüsselungsmechanismus zu verschlüsseln, der Datenverschlüsselungsschlüssel durch eine Key Management Service (KMS) umschließt (verschüsselt).
Auf der Leseseite kann die KMS-URL anwendungsbezogen oder dateibezogen gesteuert werden. Wenn der Benutzer keine anwendungsbasierte Steuerung für diesen Parameter nutzt, wird eine dateibezogene KMS-URL an eine austauschbare KmsClient-Implementierung weitergeleitet. Falls die austauschbare Implementierung keine Hostvalidierung durchführt, kann ein KMS-Token an einen vom Angreifer in der Datei festgelegten bösartigen Host gesendet werden.
Vor der Behebung des Problems wird Benutzern empfohlen, für den Parameter „KMS-URL“ auf Leseseiten (Versionen 1.12–1.18) eine anwendungsbasierte Steuerung zu nutzen. Nachdem das Problem behoben ist (vermutlich in Version 1.19), wird die dateibezogene KMS-URL standardmäßig deaktiviert sein. Benutzer des Parameters „KMS-URL“ haben dann zwei Optionen: Sie können entweder auf Leseseiten eine anwendungsbasierte Steuerung für den Parameter „KMS-URL“ nutzen oder die dateibezogene KMS-URL aktivieren (über einen neuen Anwendungsparameter). Letztere Option wird explizit erfordern (laut neuer Parameterdokumentation), dass die KMS-URL validiert und Authentifizierung in der benutzerdefinierten Implementierung des KMS-Client-Plugins verwendet wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.