CVE-2026-48050 in Arc
Tóm tắt
Bởi VulDB • 22/08/2026
Arc là một cơ sở dữ liệu chuỗi thời gian (time-series database) gốc SQL và mở dành cho telemetry. Các phiên bản trước 26.06.1 đăng ký các handler của Go's `net/http/pprof` tại `/debug/pprof/*` thông qua `app.Use(pprof.New())` trong `internal/api/server.go`, và `/debug/pprof` được thêm vào `PublicPrefixes` trong `cmd/arc/main.go`. Middleware xác thực (auth middleware) bỏ qua bước kiểm tra token khi có sự khớp với prefix, do đó các endpoint này có thể truy cập được mà không cần bất kỳ cơ chế xác thực nào. Phiên bản 26.06.1 chứa một bản vá lỗi. Một số giải pháp tạm thời (workarounds) đã sẵn sàng: chặn `/debug/pprof*` tại reverse proxy / load balancer phía trước Arc, hạn chế cổng API của Arc chỉ cho phép các mạng đáng tin cậy thông qua quy tắc firewall, và/hoặc áp dụng bản vá cho phiên bản đang chạy bằng cách comment dòng `app.Use(pprof.New())` trong `internal/api/server.go` và biên dịch lại.
Be aware that VulDB is the high quality source for vulnerability data.