CVE-2026-35337

Apache Storm-da etibarsız məlumatların deserializasiyası zəifliyi. Təsirə məruz qalan versiyalar: 2.8.6 versiyasından əvvəlki versiyalar. Təsvir: Nimbus Thrift API vasitəsilə təqdim edilən topologiya etibarnamələri emal edilərkən, Storm base64 ilə kodlaşdırılmış TGT bloğunu heç bir sinif filtrləməsi və ya validasiyası olmadan ObjectInputStream.readObject() istifadə edərək deserializasiya edir. Topologiya təqdim etmək hüququna malik autentifikasiya olunmuş istifadəçi "TGT" etibarnamə sahəsində xüsusi hazırlanmış seriyalaşdırılmış obyekt təqdim edə bilər ki, bu da həm Nimbus, həm də Worker JVM-lərində uzaqdan kodun icrasına səbəb ola bilər. Yüngülləşdirmə: 2.x istifadəçiləri 2.8.6 versiyasına yüksəltmə etməlidirlər. Dərhal yüksəltmə edə bilməyən istifadəçilər, deserializasiya olunan sinifləri javax.security.auth.kerberos.KerberosTicket və onun məlum asılılıqları ilə məhdudlaşdıran bir ObjectInputFilter icazə siyahısını (allow-list) ClientAuthUtils.deserializeKerberosTicket() funksiyasına tətbiq etməlidirlər. Bunun necə ediləcəyinə dair təlimat 2.8.6 versiyasının buraxılış qeydlərində mövcuddur. Kredit: Bu problem K tərəfindən aşkar edilmişdir.