CVE-2026-100235
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Nieprawidłowa autoryzacja z powodu wyścigu od czasu sprawdzenia do czasu użycia (TOCTOU) w obsłudze żądań setACL Apache ZooKeeper.
Kiedy lista ACL węzła zostanie zmieniona za pomocą setACL, oczekująca zmiana nie zostanie opublikowana w rekordzie oczekujących zmian serwera dla tego węzła. Każde żądanie przygotowane (i autoryzowane) po przesłaniu setACL, ale przed zatwierdzeniem, jest zatem sprawdzane z poprzednią listą ACL sprzed odwołania, a mimo to jest stosowane do drzewa danych po wejściu zmiany ACL. Klient posiadający aktualnie uprawnienie może używać tego okna do wykonywania operacji wymagających tego uprawnienia przed jego cofnięciem i po jego odwołaniu — na przykład zatwierdzanie zapisów lub usuwania po utracie prawa do zapisu lub ponowne przyznanie sobie pełnych uprawnień, co trwale uniemożliwia cofnięcie. W przypadku wdrożeń przechodzących z domyślnej listy ACL OPEN_ACL_UNSAFE na restrykcyjną listę ACL, każdy nieuwierzytelniony klient może to wykorzystać podczas przejścia.
Ten problem dotyczy Apache ZooKeeper do wersji 3.9.6 włącznie. Użytkownikom zaleca się aktualizację do wersji 3.8.8 lub 3.9.7, która rozwiązuje problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org