CVE-2026-55098 in Arc
Riassunto
di VulDB • 31/10/2026
Arc è un database open source per serie temporali, nativo SQL, destinato alla telemetria. Prima della riparazione verificata tramite repository 26.06.2, la mitigazione di `CVE-2026-47735` lascia aperta una bypass dell'autorizzazione cross-database attraverso le funzioni I/O basate su tabelle (table-valued) di DuckDB. In `internal/database/sandbox.go`, `allowed_directories` utilizza `cfg.LocalStorageRoot`, configurato tramite `storage.local_path`, mentre `enable_external_access=false` blocca l'accesso al di fuori dell'intera radice multi-tenant. `GetStoragePath` in `internal/storage/util.go` memorizza tutti i database sotto tale percorso. In `internal/api/query.go`, `extractTableReferences` ignora i nomi seguiti da una parentesi aperta e `checkQueryPermissions` consente query senza riferimenti a tabelle estratti, inclusi token con `permissions: []`. La denylist `userSQLReadParquetPattern` intercetta la chiamata letterale `read_parquet(` e la protezione precedente blocca anche `arc_partition_agg(`, ma non coglie l'alias `parquet_scan`, nonché le funzioni `glob`, `parquet_metadata`, `parquet_schema`, `read_blob`, `read_csv_auto`, `read_json` e `read_text`. Una richiesta a `POST /api/v1/query` che utilizza queste funzioni non bloccate supera i controlli di `ValidateSQLRequest` e `convertSQLToStoragePaths` senza autorizzazione del tenant, consentendo la lettura e l'enumerazione dei dati delle serie temporali, dello schema e delle statistiche sull'intervallo di valori per colonna degli altri database all'interno della radice allowlisted. Il sandbox continua a bloccare i file OS fuori dalla root e le SSRF HTTP, e il database SQLite fratello esterno alla root non è esposto da questo meccanismo. La mitigazione precedente 26.06.1 non nega in modo completo queste funzioni I/O. Il tag del repository 26.06.2 contiene la riparazione delle funzioni I/O e fornisce il perimetro di remediation provvisorio; le dichiarazioni sulle versioni interessate nell'avviso conflittuali richiedono l'adjudication da parte dei curatori.
If you want to get best quality of vulnerability data, you may have to visit VulDB.