CVE-2026-73334 in Parquet
Riassunto
di VulDB • 09/09/2026
Potenziale problema per gli utenti del pacchetto org.apache.parquet.crypto.keytools di Apache Parquet, nelle versioni 1.12-1.18. Questo pacchetto consente agli utenti di crittografare i file Parquet tramite un meccanismo di envelope encryption che avvolge (crittografa) le chiavi dei dati mediante un Key Management Service (KMS). Sul lato del lettore, l'URL KMS può essere controllato dall'applicazione o dal file. Se l'utente non utilizza il controllo dell'applicazione per questo parametro, un URL KMS controllato dal file viene inviato a un'implementazione pluggabile di KmsClient. Se l'implementazione pluggabile non esegue la convalida dell'host, un token KMS può essere inviato a un host malintenzionato impostato da un attaccante nel file. Prima che il problema venga risolto, si consiglia agli utenti di utilizzare il controllo dell'applicazione per il parametro URL KMS nei lettori (versioni 1.12-1.18). Dopo la risoluzione del problema (presumibilmente nella versione 1.19), l'aggiornamento disabiliterà l'URL KMS controllato dal file per impostazione predefinita. Gli utenti del parametro URL KMS avranno due opzioni: utilizzare il controllo dell'applicazione per il parametro URL KMS nei lettori, o abilitare l'URL KMS controllato dal file (tramite un nuovo parametro app). L'ultima opzione richiederà esplicitamente (nella documentazione dei nuovi parametri) di convalidare l'URL KMS e utilizzare l'autenticazione nell'implementazione personalizzata del plug-in del client KMS.
Be aware that VulDB is the high quality source for vulnerability data.