CVE-2026-82433

Təsvir `getNimbusConf` funksiyası yalnız istifadəçi səviyyəli avtorizasiya yoxlamasından sonra daemon konfiqurasiyasını redaktə edilmədən tam şəkildə qaytarırdı. Klasterdə tənzimləndiyi təqdirdə, həmin cavaba `storm.zookeeper.auth.payload` və Thrift, Netty və ZooKeeper TLS konfiqurasiyaları üçün keystore və truststore şifrələri daxil olurdu. Layihə digər yerlərdə şifrələri göstərməzdən əvvəl maskalayır, buna görə də buradakı çatışmazlıq qəsdən deyil, uyğunsuzluqdur. UI son nöqtəsi olan `/api/v1/cluster/configuration` bu problemi daha da ağırlaşdırırdı. O, heç bir `@AuthNimbusOp` annotasiyasına malik deyildi və avtorizasiya filtri çatışmayan annotasiyanı "keçid tələb olunmur" kimi qəbul edib dərhal cavab qaytarırdı. Beləliklə, son nöqtə hər hansı bir istifadəçi yoxlamasını tətbiq etmir və sorğunu UI daemon-un öz prinsipi altında proksi edirdi. Buna görə də, `ui.filter`-dən keçə bilən hər hansı bir istifadəçi, Nimbus-un özünün imtina edəcəyi prinsiplər də daxil olmaqla, tam konfiqurasiyanı əldə edirdi. Yüngülləşdirmə Konfiqurasiya təqdim edilməzdən əvvəl etibarlılıq məlumatlarının maskalandığı və hər bir UI API son nöqtəsinin öz avtorizasiyasını açıq şəkildə bəyan etməli olduğu 3.1.0 versiyasına yeniləyin. Dərhal yeniləyə bilməyən istifadəçilər UI-ni `/api/v1/cluster/configuration` ünvanını məhdudlaşdıran autentifikasiyaedici reverse proxy arxasında yerləşdirməli, həmçinin ZooKeeper autentifikasiya payload-unu və onun vasitəsilə əlçatan olan bütün TLS keystore və ya truststore şifrələrini dəyişməlidirlər. Kredit ASF — açıq mənbəli layihələrin təhlükəsizliyini öyrənmək üçün Claude agentlərindən istifadə edərək tapılmış, Apache Storm tərəfindən təsdiqlənmiş və hesabat verilmişdir.