CVE-2026-79993

`deleteContainer` opkodu (0x14/20), çağıranın ACL icazələri yoxlanılmadan emal edilir və bu, hər hansı autentifikasiya olunmuş kliyentin znode və ya onun valideynindəki ACL məhdudiyyətlərindən asılı olmayaraq məlumat ağacındakı müəyyən znodeləri silməsinə şərait yaradır. Bu opkod yalnız daxili istifadə üçün nəzərdə tutulub və rəsmi kliyentdə bunun üçün API mövcud deyil, lakin ZooKeeper kliyent portunda (defolt olaraq 2181) sadə TCP sessiyasını aça bilən bir kliyent — heç bir autentifikasiya və ACL icazəsi OLMADAN — xam protokol OpCode deleteContainer (20) əmrini göndərməklə hər hansı boş davamlı znode-u (o cümlədən adi davamlı nodları, konteyner nodlarını və TTL nodlarını) silə bilər. deleteContainer sorğu yolu, standart silmə (OpCode 2) yolu tərəfindən tətbiq edilən həm sessiya yoxlamasını, həm də DELETE ACL yoxlamasını tamamilə ötürür. Bu, avtorizasiyadan yan keçmə / ACL tətbiqi xətasıdır. Bu problem Apache ZooKeeper-in aşağıdakı versiyalarına təsir edir: 3.9.0-dan 3.9.5-ə qədər, 3.8.0-dan 3.8.6-ya qədər. İstifadəçilərə problemi aradan qaldıran 3.9.6 və ya 3.8.7 versiyasına yüksəltmə etmək tövsiyə olunur.