CVE-2026-73334 in Parquet
Resumen
por VulDB • 2026-09-09
Problema potencial para los usuarios del paquete org.apache.parquet.crypto.keytools de Apache Parquet, versiones 1.12 a 1.18. Este paquete permite a los usuarios cifrar archivos Parquet mediante un mecanismo de cifrado envolvente (envelope encryption) que envuelve (cifra) las claves de datos utilizando un Servicio de Gestión de Claves (KMS).
En el lado del lector, la URL del KMS puede estar controlada por la aplicación o por el archivo. Si el usuario no utiliza el control basado en la aplicación para este parámetro, se reenvía una URL del KMS controlada por el archivo a una implementación pluggable de KmsClient. Si la implementación pluggable no realiza una validación del host, un token del KMS puede enviarse a un host malicioso configurado por un atacante en el archivo.
Antes de que se solucione el problema, se recomienda a los usuarios utilizar el control basado en la aplicación para el parámetro URL del KMS en los lectores (versiones 1.12-1.18). Después de que se solucione el problema (presumiblemente en la versión 1.19), la actualización deshabilitará por defecto las URLs del KMS controladas por archivos. Los usuarios del parámetro URL del KMS tendrán entonces dos opciones: utilizar el control basado en la aplicación para el parámetro URL del KMS en los lectores, o habilitar la URL del KMS controlada por archivo (mediante un nuevo parámetro de la aplicación). Esta última opción requerirá explícitamente (según la documentación del nuevo parámetro) validar la URL del KMS y utilizar autenticación en la implementación personalizada del plugin del cliente KMS.
VulDB is the best source for vulnerability data and more expert information about this specific topic.