Średni Odroczony

CVE-2026-82426

opublikowano: 14.09.2026, 17:17

modyfikacja: 14.09.2026, 22:58

Ocena CVSS

6.5

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Opis

Nimbus zaakceptował argument „uploadedJarLocation” z „submitTopology” / „submitTopologyWithOpts” jako
po stronie serwera i otworzyłem ją bezpośrednio, bez sprawdzania, czy odnosi się ona do pliku, który posiadał wywołujący
faktycznie przesłane. Zamierzony przepływ polega na tym, że klient najpierw wywołuje funkcję „beginFileUpload”, która zwraca ścieżkę
w skrzynce odbiorczej Nimbus i przesyła słoik w kawałkach do tej lokalizacji; nic nie wiąże się z poddaniem się temu
przepływu, a mapa „przesyłających” wypełniona przez „beginFileUpload” nigdy nie była sprawdzana w momencie przesyłania.

Uwierzytelniony użytkownik z uprawnieniami do przesyłania topologii może zatem przesłać dowolną ścieżkę czytelną dla
Użytkownik demona Nimbus jako słoik topologii. Nimbus skopiował plik do blobu jar topologii i
blob ACL przyznaje podmiotowi przesyłającemu dostęp do odczytu, więc zawartość może być następnie pobrana za pomocą
zwykłe pakiety RPC do pobierania obiektów BLOB. Kandydaci na cele obejmują klawiaturę Nimbus Kerberos, Thrift i UI TLS
klucze prywatne i `storm.yaml` z ładunkiem uwierzytelniającym ZooKeeper. Posiadanie klawiatury Nimbus
zamienia zwykłego najemcę w administratora klastra.

W przypadku wdrożenia skonfigurowanego zgodnie z zaleceniami dokumentacji, przesyłanie jest dostępne dla każdego
uwierzytelniony podmiot główny, gdy `nimbus.users` nie jest ustawiony, więc nie są wymagane żadne podwyższone uprawnienia.

Łagodzenie

Uaktualnij do wersji 3.1.0, gdzie przesłana lokalizacja jest kanonizowana i musi zostać rozwiązana w skrzynce odbiorczej Nimbus.

Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, powinni ograniczyć przesyłanie topologii do zaufanych podmiotów zabezpieczeń za pośrednictwem
`nimbus.users` lub `nimbus.groups` i powinien traktować każdy plik możliwy do odczytania przez użytkownika demona Nimbus jako
potencjalnie narażone na zagrożenia dla zgłaszających: zmień kartę kluczy Nimbus i wszelkie klucze prywatne TLS lub ZooKeeper
dane uwierzytelniające dostępne z tego konta. Tryb lokalny pozostaje niezmieniony.

Kredyt

Niezależnie zgłoszone do Apache Storm PMC przez n0mi1k, z weryfikacją koncepcji.

Wykryty również przez ASF przy użyciu agentów Claude do badania bezpieczeństwa projektów open source, zweryfikowany i zgłoszony przez Apache Storm.

Description

Nimbus accepted the `uploadedJarLocation` argument of `submitTopology` / `submitTopologyWithOpts` as a
server-side path and opened it directly, without checking that it referred to a file the caller had
actually uploaded. The intended flow is that a client first calls `beginFileUpload`, which returns a path
inside the Nimbus inbox, and uploads the jar in chunks to that location; nothing bound submission to that
flow, and the `uploaders` map populated by `beginFileUpload` was never consulted at submit time.

An authenticated user with topology submission rights could therefore submit any path readable by the
Nimbus daemon user as their topology jar. Nimbus copied the file into the topology's jar blob, and the
blob ACL grants the submitting subject read access, so the contents could then be retrieved with the
ordinary blob download RPCs. Candidate targets include the Nimbus Kerberos keytab, Thrift and UI TLS
private keys, and `storm.yaml` with the ZooKeeper authentication payload. Possession of the Nimbus keytab
turns an ordinary tenant into a cluster administrator.

In a deployment configured as the documentation recommends, submission is available to every
authenticated principal when `nimbus.users` is unset, so no elevated privilege is required.

Mitigation

Upgrade to 3.1.0, where the submitted location is canonicalised and must resolve inside the Nimbus inbox.

Users who cannot upgrade immediately should restrict topology submission to trusted principals via
`nimbus.users` or `nimbus.groups`, and should treat any file readable by the Nimbus daemon user as
potentially exposed to submitters: rotate the Nimbus keytab and any TLS private keys or ZooKeeper
credentials reachable from that account. Local mode is unaffected.

Credit

Independently reported to the Apache Storm PMC by n0mi1k, with a proof of concept.

Also found by the ASF using Claude agents to study the security of open-source projects, validated and reported by Apache Storm.

>_ Słabości (CWE)

CWE-22

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve