Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 20 OCT · 06:08

CVE-2026-92287 URL de KMS no validada en Apache Arrow C++ y PyArrow

En Apache Arrow C++ Parquet y PyArrow 4.0.0 a 25.0.1, una URL de KMS controlada por el archivo se reenvía a una implementación de KmsClient sin validación de host. Si el cliente KMS no valida el host, un token de KMS puede enviarse a un host malicioso definido por el atacante en el archivo. La versión 26.0.0 deshabilita este comportamiento por defecto y requiere habilitar el flag read_kms_url en DecryptionConfiguration.

—S/D

CVSS 3.1 · PRELIMINAR

  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • Apache Software Foundation Apache Arrow C++

    desde 4.0.0 hasta antes de 26.0.0

  • Apache Software Foundation PyArrow

    desde 8.0.0 hasta antes de 26.0.0

Qué hacer

  1. Verificá si usás Apache Arrow C++ y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Descripción original

Pass-through of unvalidated KMS URLs to KMS clients in Apache C++ Parquet and PyArrow versions 4.0.0 to 25.0.1. This affects users who read Parquet files and configure Parquet decryption properties with a KmsClient implementation. On the reader side, the KMS URL can be application-controlled (specified in the KmsConnectionConfig) or file-controlled. If the user does not leverage application control for this parameter, a file-controlled KMS URL is forwarded to a pluggable KmsClient implementation. If the KMS implementation does not perform host validation and makes use of the provided KMS URL, a KMS token can be sent to a malicious host set by an attacker in the file. Users are recommended to upgrade to version 26.0.0, which disables this behavior by default and requires that users opt-in to it by enabling the read_kms_url flag in the DecryptionConfiguration. Users of affected versions are recommended to either specify the KMS URL in the KmsConnectionConfig when reading files, or ensure any KmsClient implementations validate received KMS URLs. Users that opt-in to file-controlled KMS URLs in version 26.0.0 and later must ensure KmsClients validate KMS URLs.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.