CVE-2026-40557

Apache Storm Prometheus Reporter-də Qlobal SSL Kontekstinin Aşağı Salınması vasitəsilə Sertifikatın Yanlış Doğrulanması Təsirə məruz qalan versiyalar: 2.6.3-dən 2.8.6-ya qədər Təsvir: Administratorun yalnız Prometheus reporter-ə təsir etmək məqsədilə storm.daemon.metrics.reporter.plugin.prometheus.skip_tls_validation parametrini aktivləşdirdiyi (defolt olaraq deaktivdir) istehsalat mühiti tətbiqlərində, sənədləşdirilməmiş qlobal yan təsir Storm daemon-undakı hər bir TLS ilə qorunan rabitə kanalı üzrə hücum səthinin yaranmasına səbəb olur. PrometheusPreparableReporter sinfi, boş checkClientTrusted və checkServerTrusted metodları ilə bütün SSL sertifikatlarını doğrulamadan qəbul edən bir INSECURE_TRUST_MANAGER tətbiq edir. Ən kritik məqam odur ki, HTTPS Prometheus PushGateway bağlantıları üçün storm.daemon.metrics.reporter.plugin.prometheus.skip_tls_validation konfiqurasiya seçimi aktivləşdirildikdə (defolt = deaktiv), INSECURE_CONNECTION_FACTORY SSLContext.setDefault(sslContext) funksiyasını çağırır. Bu, təhlükəsiz olmayan konteksti yalnız Prometheus bağlantısına tətbiq etmək əvəzinə, JVM-in defolt SSL kontekstini qlobal şəkildə əvəz edir. Bu proses storm.yaml konfiqurasiyası → PrometheusPreparableReporter.prepare() → INSECURE_CONNECTION_FACTORY → SSLContext.setDefault() ardıcıllığı ilə baş verir və nəticədə JVM miqyasında TLS təhlükəsizliyinin aşağı salınmasına gətirib çıxarır. Prosesdəki bütün növbəti HTTPS bağlantıları — o cümlədən ZooKeeper, Thrift, Netty və UI bağlantıları — özü imzalanmış, vaxtı keçmiş və hücumçu tərəfindən yaradılmış sertifikatlar da daxil olmaqla bütün sertifikatlara səssizcə etibar edir. Bu isə klaster vəziyyətinin, topologiya göndərişlərinin, tuple məlumatlarının və inzibati etibarnamələrin "man-in-the-middle" (ortadakı adam) hücumu ilə ələ keçirilməsinə şərait yaradır. Yüngülləşdirmə: Prometheus Metrics Reporter istifadə olunursa, 2.x istifadəçiləri versiyanı 2.8.7-yə yüksəltməlidir. Dərhal yeniləmə imkanı olmayan Prometheus Metrics Reporter istifadəçiləri storm.yaml konfiqurasiyasından storm.daemon.metrics.reporter.plugin.prometheus.skip_tls_validation: true ayarını silməli və bunun əvəzinə PushGateway sertifikatını ehtiva edən düzgün truststore konfiqurasiya etməlidirlər.