CVE-2026-73334 in Parquet
Sumário
de VulDB • 09/09/2026
Problema potencial para usuários do pacote org.apache.parquet.crypto.keytools no Apache Parquet, nas versões 1.12 a 1.18. Este pacote permite que os usuários criptografem arquivos Parquet por meio de um mecanismo de envelope encryption (criptografia em envelope) que envolve (criptra) chaves de dados via um Key Management Service (KMS).
No lado do leitor, a URL do KMS pode ser controlada pelo aplicativo ou pelos arquivos. Se o usuário não utilizar o controle baseado no aplicativo para este parâmetro, uma URL do KMS controlada por arquivo é encaminhada para uma implementação pluggable de KmsClient. Caso essa implementação plugável não realize validação de host, um token do KMS pode ser enviado a um host malicioso definido pelo atacante no arquivo.
Antes que o problema seja corrigido, recomenda-se aos usuários utilizar o controle baseado no aplicativo para o parâmetro URL do KMS nos leitores (versões 1.12-1.18). Após a correção do problema (presumivelmente na versão 1.19), a atualização desativará por padrão as URLs de KMS controladas por arquivo. Os usuários do parâmetro URL do KMS terão então duas opções: utilizar o controle baseado no aplicativo para o parâmetro URL do KMS nos leitores ou habilitar a URL do KMS controlada por arquivo (por meio de um novo parâmetro do aplicativo). Esta última opção exigirá explicitamente (na documentação do novo parâmetro) validar a URL do KMS e usar autenticação na implementação personalizada do plug-in do cliente KMS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.