CVE-2026-73334

Beschreibung

Mögliches Problem für Benutzer des Pakets org.apache.parquet.crypto.keytools in Apache Parquet, Versionen 1.12 bis 1.18. Dieses Paket ermöglicht es Benutzern, Parquet-Dateien über einen Envelope-Verschlüsselungsmechanismus zu verschlüsseln, der Datenschlüssel über einen Key Management Service (KMS) umhüllt (verschlüsselt). Auf der Leserseite kann die KMS-URL anwendungsgesteuert oder dateigesteuert sein. Wenn der Benutzer die Anwendungskontrolle für diesen Parameter nicht nutzt, wird eine dateigesteuerte KMS-URL an eine steckbare KmsClient-Implementierung weitergeleitet. Wenn die steckbare Implementierung keine Hostvalidierung durchführt, kann ein KMS-Token an einen bösartigen Host gesendet werden, der von einem Angreifer in der Datei festgelegt wurde. Bevor das Problem behoben wird, wird Benutzern empfohlen, die Anwendungskontrolle für den KMS-URL-Parameter in Lesern zu nutzen (Versionen 1.12-1.18). Nachdem das Problem behoben wurde (vermutlich in Version 1.19), deaktiviert das Upgrade standardmäßig die dateigesteuerte KMS-URL. Benutzer des KMS-URL-Parameters haben dann zwei Optionen: Verwenden Sie die Anwendungskontrolle für den KMS-URL-Parameter in Lesern oder aktivieren Sie die dateigesteuerte KMS-URL (über einen neuen App-Parameter). Letztere Option erfordert ausdrücklich (in der neuen Parameterdokumentation) die Validierung der KMS-URL und die Verwendung der Authentifizierung bei der benutzerdefinierten Implementierung des KMS-Client-Plugins.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation parquet.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.