CVE-2026-48106 in Arc정보

요약

\~에 의해 VulDB • 2026. 08. 22.

Arc은 텔레메트리를 위한 오픈 소스 SQL 네이티브 시계열 데이터베이스입니다. 버전 26.06.1 이전의 Arc Enterprise에서 `internal/cluster/replication/receiver.go`에 있는 클러스터 복제 수신기는 진입하는 메시지의 와이어 포맷 엔벨로프(길이, 오프코드)만 검증합니다. `MsgReplicateSync` 페이로드 자체는 애플리케이션 계층 인증 없이 수락됩니다—HMAC, 서명, 메시지별 nonce가 없습니다. 복제 스트림은 TLS/mTLS를 통해 전송 계층에서 보호되지만, 클러스터 네트워크에 연결된 피어 이후에는 애플리케이션 계층 메시지의 변조나 리플레이 공격으로부터의 보호는 제공되지 않습니다. 이 문제는 2026.06.1 버전에서 수정되었습니다. 일부 우회 방법이 제공됩니다. 엄격한 방화벽 규칙을 통해 알려진 신뢰할 수 있는 피어로만 클러스터 네트워크 접근을 제한하고, 예기치 않은 `MsgReplicateSync` 트래픽에 대해 복제 로그를 감사하며, 패치가 이용 가능해질 때까지 클러스터 모드를 비활성화하십시오.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

책임이 있는

GitHub M

예약하다

2026. 05. 20.

모더레이션

수락

항목

VDB-394268

EPSS

0.00157

활동

낮음

출처

Do you know our Splunk app?

Download it now for free!