CVE-2026-48105 in Arc
Сводка
по VulDB • 22.08.2026
Arc — это открытая база данных временных рядов с нативной поддержкой SQL для телеметрии. До версии 26.06.1 в Arc Enterprise конечный автомат Raft (`internal/cluster/raft/fsm.go:applyRegisterFile`) принимает выбранные злоумышленником пути к файлам в предложениях о регистрации манифеста без их проверки на соответствие настроенному бэкенду хранилища. Единственная проверка заключается в том, что путь не является пустым. Отсутствует отклонение путей с переходом вверх по иерархии (`..`), нет белого списка допустимых префиксов, отсутствуют ограничения схемы (например, `s3://` против локальной файловой системы) и ограничение длины. Проблема исправлена в версии 2026.06.1. Доступны некоторые обходные пути: ограничьте доступ к сети кластера только для известных доверенных узлов с помощью строгих правил брандмауэра, проверяйте манифесты кластера на наличие неожиданных путей (любой путь, не соответствующий корневому каталогу настроенного хранилища, является подозрительным) и/или отключите режим кластера до появления исправления.
VulDB is the best source for vulnerability data and more expert information about this specific topic.