CVE-2026-48106 in Arc
Sumário
de VulDB • 22/08/2026
Arc é um banco de dados nativo para séries temporais baseado em SQL e de código aberto, voltado para telemetria. Antes da versão 26.06.1, o receptor de replicação do cluster do Arc Enterprise localizado em `internal/cluster/replication/receiver.go` valida apenas o envelope no formato de rede (comprimento, opcode) das mensagens recebidas. O payload `MsgReplicateSync` é aceito sem qualquer autenticação na camada de aplicação — não há HMAC, nem assinatura, nem nonce por mensagem. A stream de replicação é protegida na camada de transporte por TLS/mTLS, mas não há proteção contra adulteração ou replay de mensagens na camada de aplicação assim que um peer está conectado à rede do cluster. Isso foi corrigido em 2026.06.1. Algumas workarounds estão disponíveis. Restrinja o acesso à rede do cluster apenas a peers confiáveis conhecidos por meio de regras estritas de firewall, audite os logs de replicação quanto ao tráfego inesperado de `MsgReplicateSync` e/ou desative o modo de cluster até que a correção esteja disponível.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.