CVE-2026-92287

Apache C++ Parquet ve PyArrow versiyonları 4.0.0 ile 25.0.1 arasında, doğrulanmamış KMS URL'lerinin KMS istemcilerine doğrudan aktarılması söz konusudur. Bu durum, Parquet dosyalarını okuyan ve Parquet şifre çözme özelliklerini bir KmsClient uygulamasıyla yapılandıran kullanıcıları etkilemektedir. Okuyucu tarafında, KMS URL'si uygulama tarafından kontrol edilebilir (KmsConnectionConfig içinde belirtilir) veya dosya tarafından kontrol edilebilir. Kullanıcı bu parametre için uygulama kontrolünü kullanmazsa, dosya kontrollü KMS URL'si takılabilir bir KmsClient uygulamasına iletilir. Eğer KMS uygulaması ana bilgisayar doğrulamasını gerçekleştirmezse ve sağlanan KMS URL'sini kullanırsa, bir KMS belirteci, saldırgan tarafından dosya içerisine yerleştirilen kötü niyetli bir ana bilgisayara gönderilebilir. Kullanıcıların, bu davranışı varsayılan olarak devre dışı bırakan ve kullanıcıların DecryptionConfiguration içindeki read_kms_url bayrağını etkinleştirerek bunu kabul etmesini gerektiren 26.0.0 versiyonuna yükseltmeleri önerilir. Etkilenen versiyonları kullananların, dosyaları okurken KMS URL'sini KmsConnectionConfig içinde belirtmeleri veya tüm KmsClient uygulamalarının alınan KMS URL'lerini doğruladığından emin olmaları önerilir. Versiyon 26.0.0 ve sonrasında dosya kontrollü KMS URL'lerini kabul eden kullanıcılar, KmsClient'ların KMS URL'lerini doğruladığından emin olmalıdır.