注目★★★★★GitHub Advisory
Arc CVE-2026-47735: 認証済みユーザーがローカルファイルを任意読取可能な脆弱性、2026.06.1で修正
30秒で把握
- 1Arc CVE-2026-47735: 認証済みユーザーがDuckDB関数でローカルファイルを任意読取
- 2auth.db・arc.toml・/proc/self/environ・S3シークレット漏洩リスク確認済み
- 32026.06.1で修正・DuckDBサンドボックス導入・未適用環境は即時アップグレード必須
要約
ArcのユーザーSQL検証機能がDuckDBのI/O関数族（read_csv_auto・read_json・read_text・globなど）をブロックしていなかったため、認証済みの任意トークン所持者がローカルファイルを任意に読み取れる脆弱性（CVE-2026-47735）が確認された。RBACのテーブル参照チェックがFROM/JOIN句のみを検査し、SELECTリスト内のスカラーテーブル関数を見落としていたことが根本原因。`auth.db`（APIトークンのbcryptハッシュ）・`arc.toml`（S3シークレット・TLSキー）・`/proc/self/environ`・クロステナントParquetファイルへのアクセスや、httpfsロード時のSSRFによるインスタンスメタデータ取得も攻撃対象として確認されている。バージョン2026.06.1（PR #442）でDuckDBレイヤーにサンドボックスを追加し修正済み。
あなたへの影響
Arcを本番環境で運用しているチームは2026.06.1への即時アップグレードを実施し、`auth.db`内のAPIトークンハッシュおよびS3シークレット・TLSキーのローテーションを今日中に行うこと。
推奨：httpfs（S3バックエンド）を利用している場合はSSRF経由でインスタンスメタデータが漏洩した可能性があり、クラウドのアクセスログも合わせて即時確認推奨。