CVE-2026-41081

Apache Storm-da TLS Müştəri Autentifikasiyası Xətalarının Yanlış İdarə Edilməsi Anonim Principal Təyinatına Səbəb Olur Təsirə məruz qalan versiyalar: 2.8.7-dək Təsvir: Apache Storm-da TLS transportu aktiv edildikdə və müştəri sertifikatı autentifikasiyası tələb olunmadıqda (defolt konfiqurasiya), əgər heç bir müştəri sertifikatı təqdim edilməzsə və ya sertifikatın yoxlanılması uğursuz olarsa, TlsTransportPlugin ehtiyat principal (CN=ANONYMOUS) təyin edir. Altda yatan SSLPeerUnverifiedException xətası bağlantını rədd etmək əvəzinə tutulur və sıxdırılır. Bu "fail-open" davranışı o deməkdir ki, autentifikasiya olunmamış müştəri TLS bağlantısı qura bilər və etibarlı principal kimliyi ala bilər. Əgər konfiqurasiya edilmiş avtorizator (məsələn, SimpleACLAuthorizer) CN=ANONYMOUS üçün girişi açıq şəkildə qadağan etmirsə, bu, Storm xidmətlərinə icazəsiz girişlə nəticələnə bilər. Bu şərt yalnız debug səviyyəsində loqlanır ki, bu da istehsalat mühitində görünürlüyü azaldır. Təsir: Autentifikasiya olunmamış müştərilərə principal kimliyi təyin edilə bilər ki, bu da icazəverici və ya yanlış konfiqurasiya edilmiş mühitlərdə avtorizasiyadan yan keçməyə səbəb ola bilər. Yüngülləşdirmə: İstifadəçilər TLS autentifikasiyası xətalarının "fail-closed" şəkildə idarə edildiyi 2.8.7 versiyasına yüksəltmə etməlidirlər. Dərhal yüksəltmə edə bilməyən istifadəçilər aşağıdakıları yerinə yetirməlidirlər: - Mütləq müştəri sertifikatı autentifikasiyasını aktivləşdirin (nimbus.thrift.tls.client.auth.required: true) - Avtorizasiya qaydalarının CN=ANONYMOUS üçün girişi açıq şəkildə qadağan etdiyindən əmin olun - Bütün ACL konfiqurasiyalarını implicit default-allow davranışı üçün nəzərdən keçirin