CVE-2026-84179

Opis

getTopologyPageInfo połączył konfigurację demona Nimbus z własną konfiguracją topologii i zwrócił wynik bez redakcji w polu topology_conf TopologyPageInfo. Interfejs użytkownika Storm dosłownie skopiował tę wartość do pola konfiguracyjnego GET /api/v1/topology/{id} i odpowiedniego punktu końcowego metryk.

Jeśli klaster jest z nimi skonfigurowany, połączona mapa zawiera plikstorm.zookeeper.auth.payload, który według własnej dokumentacji Storm zaleca operatorom przechowywanie w pliku Storm-cluster-auth.yaml z uprawnieniami odmawiającymi dostępu pracownikom, wraz z hasłami magazynu kluczy i magazynu zaufanych certyfikatów dla konfiguracji TLS Thrift, Netty i ZooKeeper oraz dowolnym kluczem wtyczki, którego nazwa oznacza sekret.

getTopologyPageInfo jest operacją dotyczącą topologii tylko do odczytu. W ramach SimpleACLAuthorizer podmiot główny wymieniony w topology.readonly.users lub topology.readonly.groups może zatem odczytać poświadczenia demona, które redaguje dedykowany interfejs API konfiguracji klastra, getNimbusConf, i które zamiast tego są bramkowane na nimbus.users. Operacje równorzędne, które służą do konfiguracji, zostały zamaskowane; strona topologii, która łączy się w bardziej demoniczny stan, nie była.

Łagodzenie

Uaktualnij do wersji 3.1.0, w której wartości zawierające dane uwierzytelniające są maskowane przed udostępnieniem jakiejkolwiek konfiguracji przez API Nimbus.

Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, powinni usunąć wszelkie podmioty główne, którym nie ufają poświadczenia klastra z topology.readonly.users, topology.readonly.groups, topology.users i topology.groups, a także powinni zmienić ładunek uwierzytelniający ZooKeeper oraz wszelkie hasła magazynu kluczy TLS lub magazynu zaufanych certyfikatów, które były dostępne na stronie topologii.

Kredyt
Wanxin Yin (yaklang.io) zgłosił ten problem zespołowi ds. bezpieczeństwa Apache.