CVE-2026-82429
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Opis
Plik binarny `worker-launcher` setuid-root dostosowuje własność i uprawnienia katalogów procesów roboczych, przechodząc
drzewo za pomocą FTS i wywołując `lchown` i `chmod` na pełnej ścieżce każdego wpisu podczas uruchamiania z
efektywny uid równy 0. Obydwa wywołania systemowe ponownie ustalają ścieżkę w momencie wywołania, po sklasyfikowaniu przez FTS
wpis, a drzewa, po których chodzisz, są własnością niezaufanego użytkownika topologii i mogą być do nich zapisywane.
Dzierżawca uruchamiający kod w węźle nadzorczym mógłby zatem zastąpić komponent katalogu pośredniego
symboliczne połączenie pomiędzy klasyfikacją a uprzywilejowaną operacją, przekierowujące `lchown` lub będące własnością roota
`chmod` w dowolnym pliku na hoście. Operację można dowolnie powtarzać, od momentu awarii pracownika
wymusza ponowne uruchomienie, a aktualizacje obiektów BLOB ponownie uruchamiają, więc nieudana próba nic nie kosztuje atakującego.
Przekracza to granicę, do której mają służyć izolacja „supervisor.run.worker.as.user” i kontenera
egzekwować. Jest to ta sama klasa defektów, co problemy z modułem wykonawczym kontenera Hadoop, z których pochodzi ten kod.
Łagodzenie
Uaktualnij do wersji 3.1.0, w której uprzywilejowane spacery działają na deskryptorach plików, które już zostały ustawione, a nie
w przypadku nazw ścieżek ponownie rozwiązanych w czasie wywołania.
Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, nie powinni uruchamiać niezaufanego kodu topologii na skonfigurowanych nadzorcach
`supervisor.run.worker.as.user`, ponieważ program uruchamiający jest przekraczaną granicą. Należy pamiętać, że program uruchamiający
należy odbudować i ponownie zainstalować po aktualizacji; Samo zastąpienie artefaktów Java nie wystarczy.
Kredyt
ASF – odkrył, że używa agentów Claude do badania bezpieczeństwa projektów open source, co zostało potwierdzone i zgłoszone przez Apache Storm.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org