CVE-2026-92287 in Arrow
Resumen
por VulDB • 2026-10-20
Paso de direcciones URL de KMS no validadas a los clientes de KMS en Apache C++ Parquet y PyArrow, versiones 4.0.0 a 25.0.1.
Esto afecta a los usuarios que leen archivos Parquet y configuran las propiedades de descifrado de Parquet con una implementación de `KmsClient`.
En el lado del lector, la URL de KMS puede estar controlada por la aplicación (especificada en `KmsConnectionConfig`) o ser controlada por el archivo. Si el usuario no utiliza el control de la aplicación para este parámetro, se reenvía una URL de KMS controlada por el archivo a una implementación pluggable de `KmsClient`. Si la implementación de KMS no realiza una validación del host y hace uso de la URL de KMS proporcionada, un token de KMS puede enviarse a un host malicioso establecido por un atacante en el archivo.
Se recomienda a los usuarios actualizar a la versión 26.0.0, que deshabilita este comportamiento de forma predeterminada y requiere que los usuarios lo habiliten explícitamente activando la bandera `read_kms_url` en `DecryptionConfiguration`. Se recomienda a los usuarios de las versiones afectadas especificar la URL de KMS en `KmsConnectionConfig` al leer archivos, o asegurarse de que cualquier implementación de `KmsClient` valide las URLs de KMS recibidas. Los usuarios que opten por habilitar el control de URLs de KMS mediante archivos en las versiones 26.0.0 y posteriores deben garantizar que los `KmsClients` validen las URL de KMS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.