CVE-2026-82432
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Opis
Nimbus zweryfikował `topology.blobstore.map` pod kątem tematu wywołującego tylko w momencie przesyłania. Przywrócenie równowagi
operacja akceptuje zastąpienia konfiguracji i usuwa z nich niewielki zestaw kluczy, ale nigdy nie uruchamia ich ponownie
walidację, aby osoba wywołująca upoważniona do ponownego zrównoważenia topologii mogła wprowadzić nazwę wpisu mapy magazynu blobstore o nazwie a
blob, którego lista ACL nie zapewnia im dostępu. Nadzorcy lokalizują dowolny klucz, który zawiera nazwy map, umieszczając
zawartość obiektu BLOB do katalogu roboczego topologii.
Ta sama porada dotyczy obiektów „listBlobs”, które w przeciwieństwie do obiektów nie przeprowadziły żadnej kontroli autoryzacji i nie zdały żadnego przedmiotu
sąsiadujące operacje `getBlobMeta` i `beginBlobDownload`. Dlatego zwrócił każdy klucz w
blobstore do dowolnego obiektu wywołującego, który może połączyć się z portem Nimbus Thrift, który udostępnia nazwy kluczy tworzące
powyżej praktyczne. Samo ujawnienie stanowi jedynie metadane.
Łagodzenie
Uaktualnij do wersji 3.1.0, gdzie zastąpienia konfiguracji ponownego równoważenia są sprawdzane dokładnie w momencie przesłania
konfiguracja jest przeciwna wywołującemu równoważenie i gdzie `listBlobs` stosuje skonfigurowaną
autoryzacja.
Należy pamiętać, że użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, powinni ograniczyć uprawnienia do przywracania równowagi do zaufanych podmiotów zabezpieczeń
przyznaje je przynależność do „topologii.użytkowników” lub „topologii.grup” topologii.
Kredyt
ASF – odkrył, że używa agentów Claude do badania bezpieczeństwa projektów open source, co zostało potwierdzone i zgłoszone przez Apache Storm.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org