CVE-2026-64640

Résumé

Apache Polaris ne validait pas systématiquement les emplacements de stockage fournis lors de l'enregistrement de tables et de vues. Un principal authentifié disposant de l'autorisation d'enregistrer une table ou une vue pouvait, selon la version concernée et le chemin d'enregistrement, amener Polaris à utiliser les identifiants de stockage du catalogue pour lire un fichier de métadonnées Iceberg choisi par l'appelant avant de vérifier que ce fichier se trouvait dans les emplacements de stockage autorisés du catalogue. Si les identifiants sous-jacents du catalogue pouvaient lire un objet en dehors de cette limite, cela pouvait divulguer des informations limitées de l'objet. Polaris pouvait également accepter des métadonnées d'enregistrement situées dans un emplacement autorisé contenant des références à des emplacements de stockage en dehors de la limite autorisée. Cette seconde condition ne conduisait pas en soi Polaris à lire les emplacements externes référencés lors de l'enregistrement. L'impact démontré se limite à la confidentialité. Aucun impact sur la modification non autorisée des données ou sur la disponibilité n'a été démontré. La lecture côté serveur nécessite un déploiement utilisant la distribution d'identifiants S3 et un objet en dehors des emplacements autorisés que les identifiants de stockage sous-jacents du catalogue peuvent lire. L'exploitation nécessite un principal authentifié disposant de privilèges d'enregistrement de table ou de vue.

• CVE-2026-64640PoC

  Reproducteur pour CVE-2026-64640 — Apache Polaris Iceberg REST register/register-view fournit des identifiants de stockage et lit un emplacement de métadonnées choisi par l'attaquant avant de valider allowedLocations (lecture inter-locataires par député confus). Versions concernées ≤ 1.6.0, corrigé dans 1.7.0.