CVE-2026-82431

Təsvir `SimpleACLAuthorizer`, `nimbus.groups` nəzərə alınmamışdan əvvəl `nimbus.users` boş olduqda erkən geri dönərək istifadəçi səviyyəli əmr dəstini qiymətləndirirdi. Klaster girişini yalnız qrup vasitəsilə məhdudlaşdıran və `nimbus.users` hissəsini təyin etməyən operator heç bir məhdudiyyətə məruz qalmırdı: autentifikasiya olunmuş hər bir prinsipala `submitTopology`, `beginFileUpload` və `getNimbusConf` daxil olmaqla bütün istifadəçi səviyyəli əməliyyatlara icazə verilirdi. `docs/SECURITY.md` sənədində `nimbus.groups` klasteri bağlamağın dəstəklənən yolu kimi təqdim olunur, buna görə də sənədləşməyə uyğun tətbiq edən şəxs sistemin məhdudlaşdırıldığını düşünə bilərdi, halbuki belə deyildi. Bu xəta səssiz baş verir; loqlarda və ya konfiqurasiyada qrup siyahısının nəzərə alınmadığına dair heç bir göstərici yoxdur. Hər iki siyahının boş qalması, standart olaraq heç bir məhdudiyyətin konfiqurasiya edilməməsi deməkdir və bu dəyişməyib. Yüngülləşdirmə `nimbus.users` təyin edilib-edilməməsindən asılı olmayaraq `nimbus.groups` qiymətləndirilən 3.1.0 versiyasına yüksəldin. Dərhal yeniləyə bilməyən istifadəçilər əlavə olaraq `nimbus.users` siyahısını nəzərdə tutulan prinsipallarla doldurmalıdırlar, çünki təsirlənmiş versiyalarda boş olmayan istifadəçi siyahısı qrup siyahısının qiymətləndirilməsinə səbəb olur. Operatorlar nəzərdə tutulmayan qrupların xaricindəki principallar tərəfindən yerinə yetirilən əməliyyatlar üçün Nimbus giriş loqlarını nəzərdən keçirməlidirlər. Nəzərə alın ki, yeniləmədən sonra yalnız `nimbus.groups` ilə konfiqurasiya edilmiş klaster ilk dəfə məhdudlaşdırıcı olur. Bura hər bağlantıda `getLeader` funksiyasını çağıran `NimbusClient` də daxildir, buna görə də konfiqurasiya edilmiş qrupların xaricində olan klientlər rədd edilməyə başlayacaq. Kredit ASF — açıq mənbəli layihələrin təhlükəsizliyini öyrənmək üçün Claude agentlərindən istifadə edərək tapmış, Apache Storm tərəfindən təsdiqlənmiş və bildirilmişdir.