CVE-2026-92287
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Przekazywanie niezweryfikowanych adresów URL KMS do klientów KMS w Apache C++ Parquet i PyArrow w wersjach od 4.0.0 do 25.0.1.
Dotyczy to użytkowników, którzy czytają pliki Parquet i konfigurują właściwości deszyfrowania Parquet za pomocą implementacji KmsClient.
Po stronie czytnika adres URL KMS może być kontrolowany przez aplikację (określony w KmsConnectionConfig) lub kontrolowany przez plik.
Jeśli użytkownik nie skorzysta z kontroli aplikacji dla tego parametru, kontrolowany przez plik adres URL KMS zostanie przekazany do podłączanej implementacji KmsClient.
Jeśli implementacja KMS nie sprawdza poprawności hosta i korzysta z podanego adresu URL KMS, token KMS może zostać wysłany do złośliwego hosta ustawionego przez osobę atakującą w pliku.
Użytkownikom zaleca się aktualizację do wersji 26.0.0, która domyślnie wyłącza to zachowanie i wymaga, aby użytkownicy wyrazili na to zgodę, włączając flagę read_kms_url w konfiguracji deszyfrowania. Użytkownikom wersji, których dotyczy problem, zaleca się określenie adresu URL KMS w KmsConnectionConfig podczas odczytywania plików lub upewnienie się, że wszelkie implementacje KmsClient sprawdzają otrzymane adresy URL KMS. Użytkownicy, którzy wyrazili zgodę na kontrolowane przez pliki adresy URL KMS w wersji 26.0.0 i nowszych, muszą upewnić się, że KmsClients sprawdzają poprawność adresów URL KMS.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org