CVE-2026-64640

概要

Apache Polarisは、テーブルおよびビューの登録時に指定されたストレージの場所を一貫して検証していませんでした。テーブルまたはビューの登録権限を持つ認証済みプリンシパルは、影響を受けるリリースと登録パスに応じて、ファイルがカタログの許可されたストレージの場所内にあることを確認する前に、Polarisにカタログのストレージ認証情報を使用して呼び出し元が選択したIcebergメタデータファイルを読み取らせることができました。カタログの基盤となる認証情報がその境界外のオブジェクトを読み取れる場合、これによりオブジェクトから限定的な情報が漏洩する可能性がありました。また、Polarisは、許可された場所内にありながら、許可された境界外のストレージの場所への参照を含む登録メタデータを受け入れる可能性もありました。この2番目の状態自体は、登録中にPolarisが参照された外部の場所を読み取る原因にはなりませんでした。実証された影響は機密性に限定されます。不正なデータ変更や可用性への影響は実証されていません。サーバー側の読み取りには、S3認証情報ベンダリングを使用するデプロイと、カタログの基盤となるストレージ認証情報が読み取れる許可された場所外のオブジェクトが必要です。悪用には、テーブルまたはビューの登録権限を持つ認証済みプリンシパルが必要です。

• CVE-2026-64640PoC

  CVE-2026-64640の再現ツール — Apache Polaris Iceberg REST register/register-viewは、allowedLocationsを検証する前にストレージ認証情報を提供し、攻撃者が選択したメタデータの場所を読み取ります（混乱した代理人によるクロステナント読み取り）。影響を受けるバージョンは≤ 1.6.0、修正版は1.7.0。