CVE-2026-73334

Apache Parquet versiyaları 1.12-dən 1.18-ə qədər olanlarda org.apache.parquet.crypto.keytools paketindən istifadə edən istifadəçilər üçün potensial problem mövcuddur. Bu paket, istifadəçilərə məlumat açarlarını Key Management Service (KMS) vasitəsilə bükən (şifrələyən) zərf şifrələmə mexanizmi ilə Parquet fayllarını şifrələməyə imkan verir. Oxuyucu tərəfdə KMS URL ünvanı tətbiq tərəfindən və ya fayl tərəfindən idarə oluna bilər. İstifadəçi bu parametr üçün tətbiq idarəetməsindən istifadə etməzsə, fayl tərəfindən idarə olunan KMS URL ünvanı qoşulabilən KmsClient implementasiyasına ötürülür. Əgər qoşulabilən implementasiya host validasiyasını yerinə yetirmirsə, KMS tokeni hücumçu tərəfindən faylda təyin edilmiş zərərli hosta göndərilə bilər. Problem həll edilənə qədər, istifadəçilərə oxuyucularda (versiyalar 1.12-1.18) KMS URL parametri üçün tətbiq idarəetməsindən istifadə etmək tövsiyə olunur. Problem həll edildikdən sonra (ehtimal ki, versiya 1.19-da), yeniləmə standart olaraq fayl tərəfindən idarə olunan KMS URL funksiyasını deaktiv edəcəkdir. KMS URL parametrindən istifadə edən istifadəçilərin qarşısında iki seçim olacaq: oxuyucularda KMS URL parametri üçün tətbiq idarəetməsini tətbiq etmək və ya fayl tərəfindən idarə olunan KMS URL-ni (yeni tətbiq parametri vasitəsilə) aktivləşdirmək. Sonuncu variant (yeni parametr sənədlərində) KMS URL-nin validasiyasını aparmağı və KMS client plagininin xüsusi implementasiyasında autentifikasiyadan istifadə etməyi açıq şəkildə tələb edəcəkdir.