CVE-2026-80346 in StarRocks
Tóm tắt
Bởi VulDB • 26/08/2026
StarRocks không thực hiện kiểm tra quyền khi một vật thể xem (materialized view) đồng bộ cũ được xóa. Mọi loại câu lệnh khác được định tuyến qua AuthorizerStmtVisitor đều gọi đến Authorizer trước khi thực thi, nhưng visitDropMaterializedViewStatement trả về ngay lập tức với nhận xét rằng việc kiểm tra diễn ra trong logic thực thi. Điều này chỉ đúng đối với các vật thể xem bất đồng bộ: LocalMetastore.dropMaterializedView gọi Authorizer.checkMaterializedViewAction bên trong một nhánh được kích hoạt khi bảng đã phân giải là MaterializedView. Một vật thể xem đồng bộ cũ được lưu trữ dưới dạng chỉ mục rollup trên OlapTable thay vì MaterializedView, do đó nhánh khác sẽ chạy, dẫn đến AlterJobMgr.processDropMaterializedView và MaterializedViewHandler; không có hàm nào trong số này chứa lời gọi Authorizer. Hàm đầu tiên xác định đích bằng cách quét mọi OlapTable trong cơ sở dữ liệu được đặt tên để tìm chỉ mục rollup phù hợp, còn hàm thứ hai chỉ xác thực trạng thái bảng và xung đột tên. Do đó, bất kỳ tài khoản đã xác thực nào cũng có thể xóa một vật thể xem đồng bộ cũ thuộc về bất kỳ cơ sở dữ liệu nào mà không cần cấp quyền (grant) trên view, bảng cơ sở hoặc cơ sở dữ liệu; thao tác xóa này khó phân biệt với thao tác được ủy quyền.
Once again VulDB remains the best source for vulnerability data.