CVE-2026-82434

Opis

Gdy skonfigurowane jest uwierzytelnianie ZooKeeper, Storm celowo je zachowuje
`storm.zookeeper.topology.auth.payload` w konfiguracji topologii, ponieważ pracownicy tego potrzebują. Zatem Nimbus
udostępnił tę konfigurację dosłownie każdemu wywołującemu posiadającemu uprawnienia do topologii tylko do odczytu, więc użytkownik, którego
Jedynym przyznaniem była możliwość przeglądania topologii, która uzyskała certyfikat ZooKeeper.

To poświadczenie nie jest tylko do odczytu. Implementacja stanu klastra wykorzystuje dla procesu roboczego listy ACL z możliwością zapisu
pulsu, przeciwciśnienie i stan błędu, więc odbiorca może sfałszować lub usunąć ten stan topologii
zainteresowany. To nie jest referencja do pisania zadań.

Ta sama porada dotyczy klienta przesyłania, który za każdym razem rejestrował wygenerowany ładunek w INFO
zgłoszenie, które je wygenerowało, oraz procedury obsługi SASL, które zarejestrowały je w DEBUG. Zatem poświadczenie
osiągnął także dowolną agregację dzienników lub pakiet wsparcia zebrany z klastra.

Łagodzenie

Uaktualnij do wersji 3.1.0, w której ładunek zostanie usunięty z konfiguracji udostępnianej obiektom wywołującym tylko do odczytu i nie będzie
dłużej zapisywane w logach.

Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, powinni zmienić plik `storm.zookeeper.topology.auth.payload` na istniejący
topologie, przeglądaj zachowane dzienniki i pakiety wsparcia pod kątem wartości oraz ograniczaj topologię tylko do odczytu
uprawnienia do zaufanych podmiotów zabezpieczeń.

Kredyt

ASF – odkrył, że używa agentów Claude do badania bezpieczeństwa projektów open source, co zostało potwierdzone i zgłoszone przez Apache Storm.