CVE-2026-64640

Nome do Software Vulnerável e Versões Afetadas Apache Polaris (versões afetadas não especificadas)

Descrição Um principal autenticado com permissões para registrar tabelas ou views pode fazer com que o sistema utilize as credenciais de armazenamento do catálogo para ler um arquivo de metadados Iceberg selecionado antes de verificar se o arquivo está dentro dos locais de armazenamento permitidos. Isso ocorre quando o sistema falha em validar consistentemente os locais de armazenamento durante o registro. Se as credenciais subjacentes tiverem acesso a objetos fora do limite definido, informações limitadas desses objetos podem ser expostas. Além disso, o sistema pode aceitar metadados de registro dentro de um local permitido que referenciem locais de armazenamento fora do limite permitido, embora isso não desencadeie a leitura dos locais externos durante o registro. Este problema requer uma implantação usando S3 credential vending e um objeto fora dos locais permitidos que as credenciais do catálogo possam acessar.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.