Apache Arrow C++, PyArrow: Nicht validierte KMS-URL aus Parquet-Dateien weitergeleitet
Zusammenfassung
Apache Arrow C++ Parquet und PyArrow leiten eine KMS-URL aus einer Parquet-Datei ohne Validierung an eine austauschbare KmsClient-Implementierung weiter. Validiert diese den Host nicht und verwendet die URL, kann ein Angreifer mit einer manipulierten, verschlüsselten Parquet-Datei bewirken, dass ein KMS-Token an einen von ihm kontrollierten Host gesendet wird. Voraussetzung ist, dass die Anwendung nicht vertrauenswürdige Parquet-Dateien mit Entschlüsselungseigenschaften und einem eigenen KmsClient liest.
Betroffen
- Apache Arrow C++ (Parquet): 4.0.0 bis 25.0.1
- PyArrow: 8.0.0 bis 25.0.1
Behoben in
- Upgrade auf Apache Arrow 26.0.0 (Korrektur für GH-51349). In Version 26.0.0 sind dateigesteuerte KMS-URLs standardmässig deaktiviert.
- Patch für 25.x oder älter: Unbekannt.
Umgehung
- Die KMS-URL explizit in der KmsConnectionConfig angeben, damit die Datei sie nicht liefern kann.
- Sicherstellen, dass alle KmsClient-Implementierungen empfangene KMS-URLs validieren.
- Wird eine CryptoFactory über mehrere Dateien wiederverwendet, prüfen, dass sie keinen Client mit der URL einer anderen Datei oder der Standard-URL zurückgibt.
Ausnutzung
- Keine Ausnutzung gemeldet.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Auf Apache Arrow bzw. PyArrow 26.0.0 oder neuer aktualisieren.
- Die Standardeinstellung beibehalten (dateigesteuerte KMS-URLs deaktiviert), sofern die KMS-URL-Behandlung nicht validiert ist.
- Falls ein Update nicht möglich ist, die KMS-URL in der Anwendung setzen und prüfen, ob der eigene KmsClient-Code URLs validiert.
- Verschlüsselte Parquet-Dateien mit eigenem KmsClient nur aus vertrauenswürdigen Quellen lesen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Arrow issue GH-51349 github.com
- Apache mailing list announcement lists.apache.org
- oss-security post www.openwall.com
- Apache Arrow 26.0.0 release notes arrow.apache.org
- Apache Arrow 26.0.0 GitHub release github.com
- Fix pull request GH-51350 github.com
- OSV entry DEBIAN-CVE-2026-92287 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.