CVE-2026-48106 in Arc
요약
\~에 의해 VulDB • 2026. 08. 22.
Arc은 텔레메트리를 위한 오픈 소스 SQL 네이티브 시계열 데이터베이스입니다. 버전 26.06.1 이전의 Arc Enterprise에서 `internal/cluster/replication/receiver.go`에 있는 클러스터 복제 수신기는 진입하는 메시지의 와이어 포맷 엔벨로프(길이, 오프코드)만 검증합니다. `MsgReplicateSync` 페이로드 자체는 애플리케이션 계층 인증 없이 수락됩니다—HMAC, 서명, 메시지별 nonce가 없습니다. 복제 스트림은 TLS/mTLS를 통해 전송 계층에서 보호되지만, 클러스터 네트워크에 연결된 피어 이후에는 애플리케이션 계층 메시지의 변조나 리플레이 공격으로부터의 보호는 제공되지 않습니다. 이 문제는 2026.06.1 버전에서 수정되었습니다. 일부 우회 방법이 제공됩니다. 엄격한 방화벽 규칙을 통해 알려진 신뢰할 수 있는 피어로만 클러스터 네트워크 접근을 제한하고, 예기치 않은 `MsgReplicateSync` 트래픽에 대해 복제 로그를 감사하며, 패치가 이용 가능해질 때까지 클러스터 모드를 비활성화하십시오.
If you want to get best quality of vulnerability data, you may have to visit VulDB.