CVE-2026-42811

간단히 말해서 Apache Polaris는 단기 GCS 자격 증명을 발급해야 합니다. 그 한 테이블의 파일에만 작동하지만 조작된 네임스페이스나 테이블 이름은 대신 해당 자격 증명이 구성된 버킷 전체에서 작동하도록 합니다.

Apache Polaris는 다음을 생성하여 Google Cloud Storage 축소된 사용자 인증 정보를 구축합니다. CEL 조건이 포함된 CAB(자격 증명 액세스 경계) 요청된 테이블의 스토리지 경로에 대한 액세스를 제한합니다.

관련 CEL 문자열은 버킷 이름과 테이블 경로로 구성됩니다. 그 테이블 경로는 네임스페이스 및 테이블 식별자에서 파생됩니다. 현재 코드에서는 해당 경로는 이스케이프 없이 CEL 표현식에 삽입된 것으로 보입니다.

결과적으로 작은따옴표와 다른 URI 안전 CEL 조각은 의도한 인용 문자열에서 벗어날 수 있으며 CEL 조건의 의미를 변경합니다.

실제 Google Cloud Storage에서 Polaris 1.4.0에 대한 비공개 테스트에서 Polaris가 조작된 식별자를 수락하고 위임된 식별자를 반환하는 것으로 확인되었습니다. GCS CEL 경로 제한이 효과적으로 축소된 자격 증명입니다.

그러면 위임된 자격 증명은 다음을 수행할 수 있습니다.

• 다른 테이블의 객체 접두어를 나열합니다.

• 다른 테이블의 메타데이터 제어 파일(Iceberg 메타데이터 JSON)을 읽습니다.

• 다른 테이블의 객체 접두사 아래에 객체를 생성하고 삭제합니다.

• 또한 관련되지 않은 개체 아래의 개체를 나열하고, 읽고, 만들고, 삭제합니다. 외부 테이블 경로의 일부가 아닌 동일한 버킷의 접두사.

마지막 요점이 중요합니다. 문제는 "다른 테이블"에만 국한되지 않습니다. 에서 Apache Polaris가 제작된 파일에 대한 자격 증명을 반환한 후 확인된 설정 테이블, 구성된 버킷 내부의 경로 제한이 사실상 사라졌습니다.

실질적인 효과는 하나의 제작된 테이블에 대한 임시 자격 증명이 될 수 있다 Polaris가 승인을 요청한 테이블보다 더 넓어질 수 있습니다. 구성된 버킷 내에서 효과적으로 버킷 전체에 적용됩니다.

현재 GCS 테스트에서는 광범위한 카탈로그를 갖춘 Polaris 주체를 사용했습니다. 설정 권한. 별도의 최소 권한 Polaris RBAC 변형 아직 GCS에서 테스트되지 않았습니다. 그러나 저장소 자격 증명은 확장 동작 자체가 GCS에서 확인되었습니다.