CVE-2026-82428

Təsvir `storm jar --artifacts` vasitəsilə yüklənmiş asılılıq artefaktları yalnız Maven koordinatından törəyən blob açarı altında saxlanılırdı, məsələn `dep---.jar`. Buna görə də açar klasterin hər bir istifadəçisi üçün eyni və əvvəlcədən təxmin edilə bilən idi. Blob artıq mövcud olduqda, yükləyici `KeyAlreadyExistsException` xətasını tuturdu və mövcud blobun məzmununun və ya sahibinin göndərənin həll etdiyi artefakta uyğun olub-olmadığını yoxlamadan onu səssizcə yenidən istifadə edirdi. Beləliklə, belə bir açar altında ilk blobu yükləyən istifadəçi, eyni koordinatı göndərən sonrakı bütün şəxslərin işçi (worker) classpath-də alacağı baytlara nəzarət edirdi ki, bu da digər tenantın topologiyasında kodun icrasına gətirib çıxarırdı. Bu, birdən çox prinsipalın blob yarada bildiyi və `--artifacts` asılılıq funksiyasının istifadə edildiyi tətbiqlərə təsir göstərir. Yüngülləşdirmə Hər bir yüklənmiş artefaktın yeni generatsiya edilmiş UUID daşıyan açar aldığı və mövcud blobun artıq səssizcə yenidən istifadə edilmədiyi 3.1.0 versiyasına yüksəldin. Nəzərə alın ki, düzəldilmiş açar generasiyası GÖNDƏRƏN KLİENTdə baş verir, buna görə də yalnız klasteri yüksəltmək bu boşluğu bağlamır; `storm jar --artifacts` əmrini işlədən hər bir klient də yüksəldilməlidir. Operatorlar yüksəltmədən əvvəl mövcud `dep-` bloblarını gözlənilməz sahiblər üçün audit etməlidirlər. Dərhal yüksəltmə imkanı olmayan istifadəçilər çoxtenantli klasterlərdə `--artifacts` mexanizmindən qaçmalı və asılılıqları topologiya jar faylının daxilində paylamalıdırlar. Kredit ASF -- açıq mənbəli layihələrin təhlükəsizliyini öyrənmək üçün Claude agentlərindən istifadə edərək tapılmış, Apache Storm tərəfindən təsdiqlənmiş və hesabat verilmişdir.