CVE-2026-48106
Təsvir
Arc telemetriya üçün açıq, SQL-native zaman seriyalı verilənlər bazasıdır. Versiya 26.06.1-dən əvvəl Arc Enterprise-ın `internal/cluster/replication/receiver.go` ünvanındakı klaster replikasiya qəbulçusu daxil olan mesajların yalnız şəbəkə formatlı zərfini (uzunluq, opcode) yoxlayır. `MsgReplicateSync` faydalı yükünün özü heç bir tətbiq səviyyəli autentifikasiya olmadan — HMAC, imza və ya hər mesaj üçün unikal nonce olmadan qəbul edilir. Replikasiya axını nəqliyyat səviyyəsində TLS / mTLS ilə qorunur, lakin peer klaster şəbəkəsinə daxil olduqdan sonra tətbiq səviyyəsində mesajların dəyişdirilməsinə və ya təkrar göndərilməsinə qarşı heç bir qoruma mövcud deyil. Bu problem 2026.06.1 versiyasında düzəldilib. Bəzi müvəqqəti həll yolları mövcuddur: ciddi firewall qaydaları vasitəsilə klaster şəbəkəsinə girişi yalnız etibarlı peer-lərlə məhdudlaşdırın, gözlənilməz `MsgReplicateSync` trafiki üçün replikasiya loqlarını audit edin və/və ya düzəliş mövcud olana qədər klaster rejimini söndürün.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Basekick-Labs arc | < 2026.06.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.