CVE-2026-73334 in Parquet
要約
〜によって VulDB • 2026年09月09日
Apache Parquetのorg.apache.parquet.crypto.keytoolsパッケージを使用するユーザーにとって、バージョン1.12から1.18に潜在的な問題があります。このパッケージは、Key Management Service (KMS) を介してデータキーをラップ（暗号化）することで、Parquetファイルのエンベロープ暗号化メカニズムを通じてファイルを暗号化する機能をユーザーに提供します。
リーダー側では、KMS URL はアプリケーション制御またはファイル制御のいずれかになります。 このパラメータに対してアプリケーション制御を利用しない場合、ファイル制御された KMS URL がプラグイン可能な KmsClient 実装へ渡されます。 そのプラグイン可能実装がホスト検証を行わない場合、攻撃者がファイル内で設定した悪意のあるホストに対し、KMS トークンが送信される可能性があります。
問題が修正されるまで、ユーザーはリーダー（バージョン1.12-1.18）において KMS URL パラメータに対してアプリケーション制御を利用することを推奨します。 問題が修正された後（おそらくバージョン1.19）、アップグレードによりファイル制御された KMS URL がデフォルトで無効化されます。KMS URL パラメータを使用するユーザーは、以下の2つのオプションから選択できます：リーダーにおいて KMS URL パラメータに対してアプリケーション制御を利用するか、またはファイル制御された KMS URL を有効にする（新しいアプリパラメータ経由）ことです。 後者のオプションでは、明示的に（新しいパラメータのドキュメントで要求されるように）、KMS クライアントプラグインのカスタム実装において KMS URL の検証と認証の使用が必要です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.