CVE-2026-55678

Arc, telemetri için açık, SQL-yerel bir zaman serisi veritabanıdır. 26.02.1 ile 26.06.2 sürümleri arasında, Arc Enterprise kümeleme özelliği, cluster.enabled true olduğunda ancak cluster.shared_secret yapılandırılmadığında kimlik doğrulaması olmadan küme katılım isteklerini kabul eder. internal/config/config.go içindeki varsayılanlar; cluster.enabled değerini false, cluster.cluster_name değerini arc-cluster, cluster.coordinator_addr değerini :9100, cluster.shared_secret değerini boş ve cluster.tls_enabled değerini false olarak ayarlar; öte yandan cmd/arc/main.go, cluster.shared_secret değerini yalnızca cluster.replication_enabled true olduğunda zorunlu kılar. internal/cluster/protocol/messages.go içindeki JoinRequest; saldırgan tarafından kontrol edilen node_id, role, raft_addr, api_addr ve coord_addr değerlerinin yanı sıra isteğe bağlı auth_nonce, auth_timestamp ve auth_hmac alanlarını kabul eder. internal/cluster/coordinator.go içindeki join yolu, HMAC kimlik doğrulamasını yalnızca yapılandırılmış paylaşılan sır (shared secret) boş olmadığında doğrular ve aksi takdirde yalnızca cluster-name kontrolünden sonra işleme devam eder. Kabul edilen bir düğüm sağlıklı olarak işaretlenir, bir Raft seçmeni olarak eklenir veya yerel olarak kaydedilir ve internal/cluster/registry.go aracılığıyla internal/cluster/router.go içindeki yönlendirme mantığına erişilebilir hale gelir. internal/cluster/router.go içindeki forwardRequest yolu, hedefini node.APIAddress üzerinden oluşturur ve Authorization ile x-api-key başlıklarını istekle birlikte kopyalar; bu nedenle, iletilen bir sorgu veya yazma işlemi için seçilen kötü niyetli bir düğüm, kimlik doğrulama başlıklarını, istek gövdelerini, veritabanı ve ölçüm adlarını ve operasyonel meta verileri alabilir. internal/cluster/protocol/messages.go içindeki Heartbeat özelliği de HMAC alanlarından yoksundur ve internal/cluster/coordinator.go, sağlanan node_id ve state değerlerinden düğüm durumunu kimlik doğrulaması olmadan günceller. Bu nedenle, koordinatör portuna erişebilen ve küme adını bilen kimliği doğrulanmamış bir ağ saldırganı, güvenilir bir küme düğümü haline gelebilir, küme üyeliğini değiştirebilir, Raft seçmeni olarak sunulabilir, topolojiye bağımlı iletilen istekleri yakalayabilir, işlemleri saptırabilir veya sahtesini oluşturabilir ve trafiği kara deliğe yönlendirebilir veya geciktirebilir. Varsayılan tekil (standalone) yapılandırmaya cluster.enabled false olduğu için erişilemez, ancak kümelemenin etkinleştirildiği ve paylaşılan sırrın olmadığı Enterprise küme dağıtımları etkilenmektedir. Bu sorun 26.06.2 sürümünde düzeltilmiştir.