Vulnerabilidad en arc de Basekick-Labs (CVE-2026-48106)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-306
Ausencia de autenticación para una función crítica
Fecha de publicación:
21/08/2026
Última modificación:
12/10/2026
Descripción
Arc es una base de datos de series temporales abierta, nativa de SQL, para telemetría. Antes de la versión 26.06.1, el receptor de replicación de clúster de Arc Enterprise en 'internal/cluster/replication/receiver.go' valida solo el sobre en formato de cable (longitud, código de operación) de los mensajes entrantes. La carga útil 'MsgReplicateSync' en sí misma es aceptada sin ninguna autenticación de capa de aplicación - sin HMAC, sin firma, sin nonce por mensaje. El flujo de replicación está protegido en la capa de transporte por TLS / mTLS, pero no hay protección contra la manipulación o la repetición de mensajes en la capa de aplicación una vez que un par está en la red del clúster. Esto se corrige en 2026.06.1. Algunas soluciones provisionales están disponibles. Restrinja el acceso a la red del clúster a pares de confianza conocidos mediante reglas estrictas de cortafuegos, audite los registros de replicación en busca de tráfico 'MsgReplicateSync' inesperado, y/o deshabilite el modo de clúster hasta que la corrección esté disponible.
Impacto
Puntuación base 4.0
8.30
Gravedad 4.0
ALTA