🇰🇷 한글 설명
Arc Enterprise의 Raft FSM에서 매니페스트 등록 제안 시 파일 경로를 검증하지 않는 취약점이 발견되었습니다. 공격자가 임의의 파일 경로를 입력할 수 있으며, 경로 탐색(..) 방지나 스토리지 백엔드 검증이 이루어지지 않습니다. 이 문제는 26.06.1 버전에서 수정되었습니다.
💡 쉬운 설명
데이터베이스 시스템이 파일의 위치를 확인할 때 검증 절차가 부족하여 발생한 문제입니다. 공격자가 허용되지 않은 경로에 파일을 만들거나 접근하도록 조작할 수 있습니다.
🇺🇸 원문 (English)
Arc is an open, SQL-native time-series database for telemetry. Prior to version 26.06.1, Arc Enterprise's Raft FSM (`internal/cluster/raft/fsm.go:applyRegisterFile`) accepts attacker-chosen file paths in manifest-registration proposals without validating them against the configured storage backend. The only check is that the path is non-empty. There is no parent-traversal (`..`) rejection, no allowlist of legitimate prefixes, no scheme restriction (`s3://` vs local), and no length bound. This is fixed in 2026.06.1. Some workarounds are available. Restrict cluster network access to known-trusted peers via strict firewall rules, audit the cluster manifest for unexpected paths (any path not matching the configured storage backend root is suspect), and/or disable cluster mode until the fix is available.
📍 영향받는 시스템
Arc Enterprise version prior to 26.06.1
⚔️ 공격 벡터
매니페스트 등록 과정에서 검증되지 않은 임의의 파일 경로를 포함한 제안을 전송
🛡️ 대응 방법
Arc Enterprise를 26.06.1 버전 이상으로 업데이트하거나, 방화벽을 통해 클러스터 네트워크 접근을 제한하십시오.
🔧 검증 코드
명령어 결과에 '26.06.1'이 포함되어 있으면 취약점이 해결된 상태입니다.
arc --version 2>/dev/null | grep -E '26.06.1'