CVE-2026-42812

Apache Iceberg에서 테이블의 메타데이터 파일은 제어 파일입니다. 어떤 데이터 파일이 테이블에 속해 있는지, 어떤 테이블 버전을 읽을지.

write.metadata.path는 Polaris에게 알려주는 선택적 테이블 속성입니다. 어디로 해당 메타데이터 파일을 작성합니다. 이미 등록된 테이블의 경우 Polaris 관리 카탈로그, ALTER TABLE 스타일 설정을 통해 해당 속성만 변경 변경(행 수준 INSERT, SELECT, UPDATE 또는 DELETE 아님)은 우회합니다. 저장소 위치의 유효성을 다시 검사해야 하는 커밋 시간 분기입니다.

전체 지속/자격 증명 판매 변형에는 영향을 받는 카탈로그 polaris.config.allow.unstructured.table.location=true를 갖기 위해 'allowedLocations'는 공격자가 선택한 대상을 포함할 만큼 충분히 넓습니다.

allowedLocations는 관리자가 구성한 스토리지 경로의 허용 목록입니다. 는 카탈로그를 사용할 수 있습니다. 공개 프로젝트 자료에 따르면 이 플래그는 는 인위적인 연구실 전용 모드가 아닌 실제 지원되는 호환성/레이아웃 모드 전제 조건.

해당 구성에서 테이블 설정을 변경할 수 있는 사용자는 Apache Polaris 공격자가 선택한 접근 가능한 스토리지에 새로운 테이블 메타데이터를 작성합니다. 의도한 위치 유효성 검사 분기가 실행되기 전의 위치입니다.

이후의 구체적인 경로 검증에서도 해당 위치가 승인되면 Polaris는 결과 메타데이터 경로를 저장된 테이블 상태로 유지합니다. 나중에 테이블 부하 자격 증명 API는 임시 클라우드 스토리지 자격 증명을 반환할 수 있습니다. 는 재검증하지 않고 동일한 위치에 있습니다. 간단히 말해서 Polaris는 나중에 손 공격자가 선택한 동일한 영역에 대한 임시 저장소 액세스를 차단합니다.

공격자가 선택한 지역은 중독된 지역으로 제한될 필요가 없습니다. 테이블의 자신의 파일. 더 넓은 스토리지 접두사인 경우 다른 테이블의 접두사 또는 구성이나 공급자 동작에 따라 버킷/컨테이너도 가능 루트, 그에 따른 공개 또는 부패 범위는 모든 데이터로 확장될 수 있으며 메타데이터 Polaris가 거기에 도달할 수 있습니다.

따라서 실제 결과는 단계적 생성과 유사합니다. 자격 증명 판매 문제는 이미 논의되었습니다. 그 저장소 범위가 노출될 수 있으며 나중에 쓰기 가능 자격 증명이 있는 경우 발행, 수정, 손상 또는 제거되었습니다. 그 이전에도 나중에 자격 증명 단계에서는 Polaris 자체가 확인되지 않은 위치에 메타데이터 쓰기를 수행합니다.

따라서 핵심 문제는 나중에 자격 증명을 판매하는 것만이 아닙니다.

주요 결함 이다 Polaris는 작업을 수행하기 전에 의도한 위치 확인을 건너뜁니다. 보안- write.metadata.path만 변경되는 경우 민감한 메타데이터 쓰기.

polaris.config.allow.unstructured.table.location=false인 경우, 현재 코드 검토 결과에 따르면 나중에 'updateTableLike(...)' 유효성 검사는 일반적으로 거부됩니다. 안전하지 않은 경로가 유지되기 전의 트리 외부 메타데이터 위치입니다. 그럴 수도 있지 지속형/자격 증명 판매 변형을 줄이지만 방지하지는 않습니다. 는 근본적인 결함: Polaris는 여전히 의도된 사전 쓰기 위치 확인을 건너뜁니다. write.metadata.path만 변경되는 경우.