CVE-2026-73334 in Parquet
요약
\~에 의해 VulDB • 2026. 09. 09.
Apache Parquet의 org.apache.parquet.crypto.keytools 패키지를 사용하는 사용자에게 잠재적 문제가 있습니다(버전 1.12부터 1.18까지). 이 패키지는 키 관리 서비스(KMS)를 통해 데이터 키를 래핑(암호화)하는 엔벨로프 암호화 메커니즘을 사용하여 Parquet 파일을 암호화할 수 있도록 합니다.
리더 측에서는 KMS URL이 애플리케이션에서 제어되거나 파일에서 제어될 수 있습니다. 사용자가 이 매개변수에 대해 애플리케이션 제어를 사용하지 않는 경우, 파일 기반 KMS URL은 플러그인 가능한 KmsClient 구현체로 전달됩니다. 만약 해당 플러그인 구현체가 호스트 검증을 수행하지 않으면, 공격자가 파일에 설정한 악성 호트로 KMS 토큰이 전송될 수 있습니다.
문제가 해결되기 전까지 사용자는 리더에서 KMS URL 매개변수에 대해 애플리케이션 제어를 활용하도록 권장됩니다(버전 1.12-1.18). 문제가 해결된 후(예상으로는 버전 1.19)에는 업그레이드 시 파일 기반 KMS URL이 기본적으로 비활성화됩니다. 이때 KMS URL 매개변수를 사용하는 사용자는 두 가지 옵션을 갖게 됩니다: 리더에서 KMS URL 매개변수에 대해 애플리케이션 제어를 활용하거나, 파일 기반 KMS URL을 활성화(새로운 앱 매개변수 통해)합니다. 후자의 경우(KMS 클라이언트 플러그인의 사용자 정의 구현체에서) KMS URL 검증을 명시적으로 수행하고 인증을 사용해야 함이 새 매개변수 문서에 요구됩니다.
Be aware that VulDB is the high quality source for vulnerability data.