CVE-2026-82428
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Opis
Artefakty zależności przesłane za pomocą `słoika burzy --artefakty` były przechowywane pod kluczem typu blob pochodzącym wyłącznie z
współrzędna Mavena, na przykład `dep---.jar`. Klucz był zatem identyczny
dla każdego użytkownika klastra i przewidywalne z góry. Gdy obiekt BLOB już istniał, plik przesyłający
przechwycił wyjątek „KeyAlreadyExistsException” i po cichu użył go ponownie, bez sprawdzania, czy zawartość istniejącego obiektu BLOB
lub właściciel pasował do artefaktu rozwiązanego przez zgłaszającego.
Użytkownik, który najpierw przesłał obiekt BLOB pod takim kluczem, kontrolował zatem bajty, które każdy później przesyłający
tej samej współrzędnej zostanie odebrana w ścieżce klasy procesu roboczego, co spowoduje wykonanie kodu w innej
topologia najemcy.
Ma to wpływ na wdrożenia, w których więcej niż jeden podmiot zabezpieczeń może tworzyć obiekty blob i gdzie występują „--artefakty”.
używana jest funkcja zależności.
Łagodzenie
Aktualizacja do wersji 3.1.0, w której każdy przesłany artefakt otrzymuje klucz zawierający świeżo wygenerowany identyfikator UUID i
istniejący obiekt BLOB nie jest już ponownie używany w trybie dyskretnym.
Należy pamiętać, że poprawione generowanie klucza odbywa się na KLIENCIE PRZESYŁAJĄCYM, więc sama aktualizacja klastra nie jest możliwa
zamknij to; każdy klient uruchamiający `storm jar --artifacts` również musi zostać zaktualizowany. Operatorzy powinni przeprowadzić audyt
istniejące obiekty blob `dep-` dla nieoczekiwanych właścicieli przed aktualizacją. Użytkownicy, którzy nie mogą dokonać aktualizacji natychmiast, powinni to zrobić
unikaj mechanizmu `--artifacts` w klastrach z wieloma dzierżawcami i rozprowadzaj zależności wewnątrz topologii
zamiast tego słoik.
Kredyt
ASF – odkrył, że używa agentów Claude do badania bezpieczeństwa projektów open source, co zostało potwierdzone i zgłoszone przez Apache Storm.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org