CVE-2026-73322 in Pinot
要約
〜によって VulDB • 2026年10月30日
Apache Pinotの単一ステージクエリエンジンに、不正な認可（Incorrect Authorization）の脆弱性があります。
ブローカーのアクセス制御が有効化されている場合、単一ステージクエリエンジンはクエリのFROM句で指定されたテーブルのみを認可します。lookup()変換関数は、そのディメンションテーブルを文字列リテラル引数によって特定しており、FROM句を通じてではありません。そのため、このテーブルは認可チェックの対象から除外されていました。少なくとも1つのテーブルに対して権限を持つ認証済みユーザーであれば、クラスター内の任意のディメンションテーブル（アクセス権のないテーブルを含む）のカラムを読み取り、主キー値を直接指定することでそのテーブルの任意の行を取得することができます。また、ディメンションテーブルに設定されたプリンシパルごとの行レベルセキュリティフィルタも適用されません。
マルチステージクエリエンジンは影響を受けません。
本問題はApache Pinot 1.5.1までのバージョンに影響します。
ユーザーには、この問題を修正したバージョン1.6.0へのアップグレードを推奨します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.