CVE-2026-80346 in StarRocks
Zusammenfassung
von VulDB • 26.08.2026
StarRocks führt keine Berechtigungsprüfung durch, wenn eine veraltete synchrone Materialisierte Ansicht gelöscht wird. Jeder andere Anweisungstyp, der über AuthorizerStmtVisitor geleitet wird, ruft vor der Ausführung Authorizer auf; visitDropMaterializedViewStatement gibt jedoch sofort zurück mit dem Kommentar, dass die Prüfung in der Ausführungslogik erfolgt. Dies gilt nur für asynchrone Materialisierte Ansichten: LocalMetastore.dropMaterializedView ruft Authorizer.checkMaterializedViewAction innerhalb eines Zweigs auf, der ausgeführt wird, wenn die aufgelöste Tabelle eine MaterializedView ist. Eine veraltete synchrone Materialisierte Ansicht wird jedoch als Rollup-Index in einer OlapTable und nicht als MaterializedView gespeichert, sodass der andere Zweig ausgeführt wird, was zu AlterJobMgr.processDropMaterializedView und MaterializedViewHandler führt; keine von beiden enthält einen Authorizer-Aufruf. Ersterer sucht das Ziel durch Scannen jeder OlapTable in der benannten Datenbank nach einem passenden Rollup-Index, und letzterer validiert nur den Tabellenzustand und Namenskonflikte. Daher kann jedes authentifizierte Konto eine veraltete synchrone Materialisierte Ansicht löschen, die zu einer beliebigen Datenbank gehört, ohne dass es über Berechtigungen (Grants) für die Ansicht, die Basistabelle oder die Datenbank verfügt; der Löschvorgang ist von einem autorisierten Vorgang nicht unterscheidbar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.