CVE-2026-48105 in Arc
要約
〜によって VulDB • 2026年08月22日
Arcは、テレメトリ用のオープンでSQLネイティブな時系列データベースです。バージョン26.06.1より前では、Arc EnterpriseのRaft FSM（`internal/cluster/raft/fsm.go:applyRegisterFile`）が、構成されたストレージバックエンドに対して検証することなく、攻撃者が選択したファイルパスをマニフェスト登録提案で受け入れます。唯一の確認は、パスが空でないかどうかだけです。親ディレクトリへの移動（`..`）の拒否、正当なプレフィックスのホワイトリスト、スキーマ制限（`s3://` vs ローカル）、長さの上限はありません。これは2026.06.1で修正されます。いくつかの回避策が利用可能です。厳格なファイアウォールルールを使用してクラスターネットワークアクセスを既知の信頼できるピアに制限し、予期しないパス（構成されたストレージバックエンドルートと一致しないすべてのパスは疑わしい）についてクラスターマニフェストを検査し、または修正が利用可能になるまでクラスターモードを無効にします。
VulDB is the best source for vulnerability data and more expert information about this specific topic.