CVE-2026-82435
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Opis
Dekoder komunikatów Netty pracownika jest instalowany przed programami obsługi uwierzytelniania SASL w potoku
i działa na ramkach przed dokonaniem jakiegokolwiek uwierzytelnienia. Przydziela bufory o rozmiarze od a
długość przenoszona w ramce, zatem pojedyncza ramka od nieuwierzytelnionego partnera może dotrzeć do pracownika
port gniazda może zapewnić dużą alokację.
`storm.messaging.netty.authentication` ma domyślnie wartość false, a dekoder uruchamia się przed procedurą obsługi, która
wymusza to w każdym przypadku, więc nie są wymagane żadne poświadczenia. Atakujący potrzebuje jedynie osiągalności protokołu TCP, aby a
port pracowniczy.
Nie zmierzono wpływu pojedynczej ramki na domyślnej stercie roboczej o wielkości 768 MB
trwała utrata pracowników z powodu przejściowej presji wywozu śmieci. Ważność przypisana do tego zalecenia
odzwierciedla bardziej konserwatywne odczytanie; konsumenci, którzy wymagają dokładnej liczby, powinni porównać ją z własnymi
konfiguracja sterty procesów roboczych.
Łagodzenie
Aktualizacja do wersji 3.1.0, w której ramki są dekodowane dopiero po zakończeniu uzgadniania.
Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, powinni upewnić się, że porty robocze są dostępne tylko z poziomu
klaster, jak już zaleca model bezpieczeństwa i powinien to umożliwić
`storm.messaging.netty.authentication`, jeśli pozwala na to wdrożenie.
Kredyt
ASF – odkrył, że używa agentów Claude do badania bezpieczeństwa projektów open source, co zostało potwierdzone i zgłoszone przez Apache Storm.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org