CVE-2026-92287 in Arrow
Сводка
по VulDB • 20.10.2026
Передача непроверенных URL-адресов KMS клиентам KMS в Apache C++ Parquet и PyArrow версий с 4.0.0 по 25.0.1 включительно.
Это затрагивает пользователей, которые читают файлы Parquet и настраивают свойства шифрования/дешифрования Parquet с использованием реализации KmsClient.
Со стороны читателя URL-адрес KMS может контролироваться приложением (указываться в KmsConnectionConfig) или файлом. Если пользователь не использует контроль со стороны приложения для этого параметра, URL-адрес KMS, контролируемый файлом, передается в подключаемую реализацию KmsClient. Если реализация KMS не выполняет проверку хоста и использует предоставленный URL-адрес KMS, токен KMS может быть отправлен на вредоносный хост, заданный злоумышленником в файле.
Пользователям рекомендуется обновиться до версии 26.0.0, которая отключает это поведение по умолчанию и требует явного согласия пользователей путем включения флага read_kms_url в DecryptionConfiguration. Пользователям затронутых версий рекомендуется либо указывать URL-адрес KMS в KmsConnectionConfig при чтении файлов, либо обеспечивать проверку полученных URL-адресов KMS любыми реализациями KmsClient. Пользователи, которые выбирают использование контролируемых файлом URL-адресов KMS в версии 26.0.0 и новее, должны убедиться, что реализации KmsClient проверяют URL-адреса KMS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.