CVE-2026-48106
Açıklama
Arc, telemetri için açık, SQL-yerel bir zaman serisi veritabanıdır. Versiyon 26.06.1 öncesinde, Arc Enterprise'ın `internal/cluster/replication/receiver.go` konumundaki küme replikasyon alıcısı, gelen mesajların yalnızca tel formatı zarfını (uzunluk, opcode) doğrulamaktadır. `MsgReplicateSync` yükünün kendisi; herhangi bir HMAC, imza veya mesaj başına nonce gibi uygulama katmanı kimlik doğrulaması olmaksızın kabul edilmektedir. Replikasyon akışı taşıma katmanında TLS / mTLS ile korunmaktadır ancak bir eş küme ağına dahil olduktan sonra uygulama katmanı mesaj manipülasyonuna veya yeniden oynatma saldırılarına karşı herhangi bir koruma bulunmamaktadır. Bu durum 2026.06.1 versiyonunda düzeltilmiştir. Bazı geçici çözümler mevcuttur. Sıkı güvenlik duvarı kuralları aracılığıyla küme ağ erişimini yalnızca bilinen güvenilir eşlerle sınırlandırın, beklenmedik `MsgReplicateSync` trafiği için replikasyon günlüklerini denetleyin ve/veya düzeltme yayınlanana kadar küme modunu devre dışı bırakın.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Basekick-Labs arc | < 2026.06.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.