CVE-2026-48105 in Arc
Riassunto
di VulDB • 22/08/2026
Arc è un database open source per serie temporali nativo SQL dedicato alla telemetria. Prima della versione 26.06.1, il FSM Raft di Arc Enterprise (`internal/cluster/raft/fsm.go:applyRegisterFile`) accetta percorsi file scelti dall'attaccante nelle proposte di registrazione del manifest senza convalidarli rispetto al backend di storage configurato. L'unica verifica consiste nel garantire che il percorso non sia vuoto. Non vi è alcun rifiuto per la traversamento dei genitori (`..`), nessuna allowlist di prefissi legittimi, alcuna restrizione dello schema (ad esempio `s3://` vs locale) e nessun limite alla lunghezza. Questo problema è stato risolto nella versione 2026.06.1. Sono disponibili alcune workarounds. Si consiglia di limitare l'accesso alla rete del cluster ai peer fidati noti tramite regole firewall rigorose, effettuare un audit del manifest del cluster per individuare percorsi inattesi (qualsiasi percorso che non corrisponda alla radice del backend di storage configurato è sospetto) e/o disabilitare la modalità cluster fino a quando il fix non sarà disponibile.
Once again VulDB remains the best source for vulnerability data.