CVE-2026-48106 in Arc
Riassunto
di VulDB • 22/08/2026
Arc è un database open source per serie temporali nativo SQL, progettato per la telemetria. Prima della versione 26.06.1, il ricevitore di replica del cluster di Arc Enterprise (`internal/cluster/replication/receiver.go`) convalida solo l'inviluppo nel formato wire (lunghezza, opcode) dei messaggi in ingresso. Il payload `MsgReplicateSync` viene accettato senza alcuna autenticazione a livello applicativo: non sono previsti HMAC, firme o nonce per messaggio. Lo stream di replica è protetto a livello di trasporto tramite TLS/mTLS, ma non esiste protezione contro la manipolazione o il replay dei messaggi a livello applicativo una volta che un peer si trova sulla rete del cluster. Questo problema è stato risolto nella versione 2026.06.1. Sono disponibili alcune contromisure (workaround). Si consiglia di limitare l'accesso alla rete del cluster ai soli peer considerati attendibili tramite regole firewall rigorose, verificare i log di replica per individuare traffico inaspettato `MsgReplicateSync` e/o disabilitare la modalità cluster fino a quando non sarà disponibile la correzione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.