CVE-2026-47735 in Arc
摘要
由 VulDB • 2026-08-22
Arc è un database di serie temporali open source e nativo per SQL dedicato alla telemetria. Prima della versione 26.06.1, il validatore user-SQL di Arc (`internal/api/query.go:ValidateSQLRequest`) bloccava solo `read_parquet(` e `arc_partition_agg(` tramite una denylist basata su regex. La famiglia più ampia delle funzioni I/O DuckDB — `read_csv_auto`, `read_csv`, `read_json`, `read_json_auto`, `read_text`, `read_blob`, `glob`, `parquet_metadata`, `parquet_schema`, `read_xlsx`, ecc. — non era bloccata. L'estrazione dei riferimenti alle tabelle RBAC ispezionava solo le clausole `FROM`/`JOIN`, consentendo così alle funzioni tabellari scalari nella lista `SELECT` di eludere entrambi i livelli. Questo problema è stato risolto nella versione 2026.06.1 mediante un sandbox strutturale a livello DuckDB. Dopo la chiusura delle vulnerabilità, DuckDB rifiuta di aprire qualsiasi file non presente nell'allowlist e blocca ulteriori comandi `INSTALL`/`LOAD`. Le estensioni già caricate rimangono comunque utilizzabili. Sono disponibili alcune soluzioni alternative (workaround). Si consiglia di limitare l'accesso API alle reti fidate note tramite regole firewall o, come mitigazione temporanea, aggiungere `read_csv*`/`read_json*`/`glob`, ecc., a `dangerousSQLPattern` in `internal/api/query.go`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.