Wysoki Odroczony

CVE-2026-82438

opublikowano: 14.09.2026, 17:17

modyfikacja: 14.09.2026, 22:58

Ocena CVSS

8.1

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Opis

Trzy oddzielne mechanizmy umożliwiały stronie internetowej niepowiązanego pochodzenia odczytywanie odpowiedzi przesyłanych przez protokół HTTP firmy Storm
komponenty udostępniane uwierzytelnionemu użytkownikowi.

Przeglądarka dziennika odzwierciedliła nagłówek `Origin` żądania z powrotem w `Access-Control-Allow-Origin`, jednocześnie
wysyłanie `Poświadczenia kontroli dostępu-zezwól: prawda`. Opublikowany model bezpieczeństwa dokumentuje liberalizm
`Access-Control-Allow-Origin: *` postawa zaakceptowana, która jest bezpieczna właśnie dlatego, że przeglądarki odmawiają
honoruj `*` wraz z referencjami; odzwierciedlenie pochodzenia betonu usuwa tę ochronę.

Współdzielony filtr CORS używany przez interfejs użytkownika, przeglądarkę dzienników i DRPC został skonfigurowany z nazwą nagłówka odpowiedzi
gdzie oczekiwano nazwy parametru inicjującego. Kontener zignorował ustawienie i zastosował własne
ustawienia domyślne, które zezwalają na poświadczenia.

Na koniec interfejs użytkownika i przeglądarka dzienników zawinęły odpowiedzi API w wywołaniu zwrotnym JSONP dostarczonym przez rozmówcę dla każdego GET
prośba. Element skryptu dowolnego źródła może załadować taką odpowiedź, co omija politykę tego samego źródła
zamiast negocjować, i nie było sposobu, aby wyłączyć to zachowanie.

W każdym przypadku efekt jest taki, że strona odwiedzana przez uwierzytelnionego operatora może odczytać klaster, topologię i
rejestrować dane w ich imieniu.

Łagodzenie

Uaktualnij do wersji 3.1.0, gdzie przeglądarka dziennika nie odzwierciedla już źródła żądania w uwierzytelnionej odpowiedzi,
Filtr CORS jest skonfigurowany jawnie, a zawijaniem JSONP zarządza plik `ui.enable.jsonp`, który domyślnie
fałszywe.

Należy pamiętać, że wyłączenie JSONP oznacza zmianę zachowania narzędzi przekazujących parametr zapytania „callback”; taki
oprzyrządowanie należy przenieść do zwykłych żądań JSON.

Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, powinni umieścić punkty końcowe interfejsu użytkownika, przeglądarki dziennika i protokołu DRPC HTTP w odwrotnej kolejności
proxy, które usuwa „Access-Control-Allow-Origin” i „Access-Control-Allow-Credentials” z odpowiedzi i
odrzuca żądania zawierające parametr „callback”.

Kredyt

ASF – odkrył, że używa agentów Claude do badania bezpieczeństwa projektów open source, co zostało potwierdzone i zgłoszone przez Apache Storm.

Description

Three separate mechanisms allowed a web page on an unrelated origin to read responses that Storm's HTTP
components served to an authenticated user.

The Logviewer reflected the request's `Origin` header back in `Access-Control-Allow-Origin` while also
sending `Access-Control-Allow-Credentials: true`. The published security model documents a permissive
`Access-Control-Allow-Origin: *` posture as accepted, which is safe precisely because browsers refuse to
honour `*` together with credentials; reflecting the concrete origin removes that protection.

The shared CORS filter used by the UI, the Logviewer and DRPC was configured with a response header name
where an initialisation parameter name was expected. The container ignored the setting and applied its own
defaults, which allow credentials.

Finally, the UI and Logviewer wrapped API responses in a caller-supplied JSONP callback for every GET
request. A script element on any origin can load such a response, which bypasses the same-origin policy
entirely rather than negotiating it, and there was no way to turn the behaviour off.

In each case the effect is that a page visited by an authenticated operator can read cluster, topology and
log data on their behalf.

Mitigation

Upgrade to 3.1.0, where the Logviewer no longer reflects the request origin in a credentialed response, the
CORS filter is configured explicitly, and JSONP wrapping is governed by `ui.enable.jsonp`, which defaults to
false.

Note that disabling JSONP is a behaviour change for tooling that passes a `callback` query parameter; such
tooling should be moved to ordinary JSON requests.

Users who cannot upgrade immediately should place the UI, Logviewer and DRPC HTTP endpoints behind a reverse
proxy that strips `Access-Control-Allow-Origin` and `Access-Control-Allow-Credentials` from responses and
rejects requests carrying a `callback` parameter.

Credit

The ASF -- found using Claude agents to study the security of open-source projects, validated and reported by Apache Storm.

>_ Słabości (CWE)

CWE-346 CWE-942

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve