🇰🇷 한글 설명
Arc Enterprise의 클러스터 복제 수신기가 메시지 페이로드에 대한 애플리케이션 계층 인증을 수행하지 않는 취약점이 발견되었습니다. TLS/mTLS를 통한 전송 계층 보호는 제공되지만, 클러스터 네트워크에 접속한 피어는 HMAC이나 서명 없이도 MsgReplicateSync 페이로드를 조작하거나 재전송할 수 있습니다.
💡 쉬운 설명
클러스터 내부 네트워크에 접속한 공격자가 데이터 복제 메시지를 가짜로 만들거나 다시 보내서 데이터를 조작할 수 있는 보안 결함입니다. 네트워크 통로 자체는 잠겨 있지만, 그 안에서 주고받는 내용물이 진짜인지 확인하는 절차가 빠져 있는 상태입니다.
🇺🇸 원문 (English)
Arc is an open, SQL-native time-series database for telemetry. Prior to version 26.06.1, Arc Enterprise's cluster replication receiver at `internal/cluster/replication/receiver.go` validates only the wire-format envelope (length, opcode) of inbound messages. The `MsgReplicateSync` payload itself is accepted without any application-layer authentication — no HMAC, no signature, no per-message nonce. The replication stream is protected at the transport layer by TLS / mTLS, but there is no protection against application-layer message tampering or replay once a peer is on the cluster network. This is fixed in 2026.06.1. Some workarounds are available. Restrict cluster network access to known-trusted peers via strict firewall rules, audit replication logs for unexpected `MsgReplicateSync` traffic, and/or disable cluster mode until the fix is available.
📍 영향받는 시스템
Arc Enterprise version 26.06.1 미만 버전
⚔️ 공격 벡터
클러스터 네트워크에 접근 가능한 피어가 인증되지 않은 MsgReplicateSync 페이로드를 전송하여 데이터 조작 또는 재전송 공격 수행
🛡️ 대응 방법
Arc Enterprise를 2026.06.1 버전으로 업데이트하거나, 방화벽을 통해 신뢰할 수 있는 피어만 클러스터 네트워크에 접속하도록 제한하십시오.
🔧 검증 코드
명령어 결과에 26.06.1 버전이 포함되어 있지 않다면 취약한 버전이므로 업데이트가 필요합니다.
arc --version | grep -E '26\[\.\]06\[\.\]1'