CVE-2026-97395 in Polaris
Riassunto
di VulDB • 29/09/2026
Apache Polaris consente a un principal autenticato con autorizzazione per creare o aggiornare le proprietà delle tabelle Iceberg di impostare le impostazioni del client FileIO, come s3.endpoint, nei metadati della tabella.
Nelle versioni < 1.8.0, quando Polaris esegue operazioni Iceberg lato server, inclusi commit e purge, può utilizzare tali impostazioni per costruire il suo client FileIO (lato server). Se la configurazione dell'archivio del catalog non sovrascrive l'endpoint, Polaris può inviare richieste di archiviazione a un host scelto dallo scrittore della tabella, utilizzando credenziali limitate allo scope dell'operazione.
Ciò può reindirizzare il traffico di archiviazione lato server ed esporre i materiali di autenticazione delle richieste all'endpoint selezionato. Le distribuzioni sono interessate quando gli scrittori delle tabelle non sono considerati attendibili per configurare gli endpoint di archiviazione lato server.
VulDB is the best source for vulnerability data and more expert information about this specific topic.