CVE-2026-42811

Sadə dillə desək, Apache Polaris yalnız bir cədvəlin faylları üçün keçərli olan qısamüddətli GCS etibarnamələri verməlidir, lakin xüsusi hazırlanmış namespace və ya cədvəl adı həmin etibarnamələrin konfiqurasiya edilmiş bütün bucket daxilində işləməsinə səbəb ola bilər. Apache Polaris, sorğu edilən cədvəlin yaddaş yoluna girişi məhdudlaşdırmaq üçün nəzərdə tutulmuş CEL şərtləri ilə Credential Access Boundary (CAB) yaradaraq Google Cloud Storage-ın azaldılmış əhatə dairəli (downscoped) etibarnamələrini qurur. Müvafiq CEL sətiri bucket adı və cədvəl yolundan qurulur. Həmin cədvəl yolu namespace və cədvəl identifikatorlarından törəmişdir. Mövcud kodda bu yolun CEL ifadəsinə escape edilmədən daxil edildiyi görünür. Nəticə etibarilə, tək dırnaq və digər URI-safe CEL fraqmentlərini ehtiva edən namespace və ya cədvəl identifikatoru nəzərdə tutulan dırnaq arası sətirdən çıxa və CEL şərtinin mənasını dəyişə bilər. Real Google Cloud Storage üzərində Polaris 1.4.0 versiyasına qarşı aparılan qapalı testlərdə təsdiqlənmişdir ki, Polaris xüsusi hazırlanmış identifikatoru qəbul etmiş və CEL yol məhdudiyyəti faktiki olaraq ləğv edilmiş nümayəndə GCS etibarnamələri qaytarmışdır. Həmin nümayəndə etibarnamələr aşağıdakıları edə bilirdi: - başqa bir cədvəlin obyekt prefikslərini siyahılamaq; - başqa bir cədvəlin metadata idarəetmə faylını (Iceberg metadata JSON) oxumaq; - başqa bir cədvəlin obyekt prefiksi altında obyekt yaratmaq və silmək; - həmçinin, heç bir cədvəl yolunun hissəsi olmayan, eyni bucket-dəki əlaqəsiz xarici prefiks altında obyektləri siyahılamaq, oxumaq, yaratmaq və silmək. Sonuncu bənd vacibdir. Problem yalnız "başqa bir cədvəl" ilə məhdudlaşmır. Təsdiqlənmiş quraşdırmada, Apache Polaris xüsusi hazırlanmış cədvəl üçün etibarnamələri qaytardıqdan sonra, konfiqurasiya edilmiş bucket daxilindəki yol məhdudiyyəti faktiki olaraq aradan qalxmışdı. Praktiki nəticə budur ki, bir xüsusi hazırlanmış cədvəl üçün müvəqqəti etibarnamələr, Polaris-dan avtorizasiyası istənilən cədvəldən daha geniş ola bilər və konfiqurasiya edilmiş bucket daxilində effektiv şəkildə bütün bucket-i əhatə edə bilər. Hazırkı GCS testi quraşdırma üçün geniş kataloq imtiyazlarına malik Polaris prinsipalından istifadə etmişdir. Minimum imtiyazlı ayrıca Polaris RBAC variantı hələ GCS-də test edilməmişdir. Lakin, yaddaş etibarnamələrinin genişlənməsi davranışı özü GCS-də təsdiqlənmişdir.