CVE-2026-82434

Təsvir ZooKeeper autentifikasiyası konfiqurasiya edildikdə, Storm işçilərə ehtiyac olduğu üçün `storm.zookeeper.topology.auth.payload` məlumatını topologiya konfiqurasiyasında qəsdən saxlayır. Daha sonra Nimbus həmin konfiqurasiyanı yalnız oxuma icazələri olan istənilən çağırana olduğu kimi təqdim etmişdir, beləliklə, yeganə icazəsi topologiyanı görmək olan istifadəçi öz ZooKeeper etibarnaməsini əldə etmişdir. Həmin etibarnamə yalnız oxuma üçün nəzərdə tutulmayıb. Klaster vəziyyətinin tətbiqi işçi ürək döyüntüləri (heartbeats), geri təzyiq (backpressure) və xəta vəziyyətləri üçün yazı imkanı olan ACL-lərdən istifadə edir, buna görə də qəbul edən şəxs müvafiq topologiya üçün həmin vəziyyəti saxtalaşdıra və ya silə bilər. Bu, təyinatlar üzrə yazı etibarnaməsi deyil. Eyni xəbərdarlıq həm də göndərmə kliyentinə şamil edilir; həmin klient hər bir göndərmə zamanı yaradılan faydalı yükü (payload) INFO səviyyəsində loqlayırdı, SASL idarəediciləri isə bunu DEBUG səviyyəsində loqlayırdı. Buna görə də etibarnamə klasterdən toplanan hər hansı loq aqreqasiyasına və ya dəstək paketlərinə (support bundle) daxil olmuşdur. Yüngülləşdirmə Payload-un yalnız oxuma icazəsi olan çağırana təqdim edilən konfiqurasiyadan çıxarıldığı və artıq loqlara yazılmadığı 3.1.0 versiyasına yeniləyin. Dərhal yeniləyə bilməyən istifadəçilər mövcud topologiyalar üçün `storm.zookeeper.topology.auth.payload` məlumatlarını dəyişməli, saxlanılan loqları və dəstək paketlərini bu dəyər üçün nəzərdən keçirməli və topologiyanın yalnız oxuma icazələrini etibarlı subyektlərlə məhdudlaşdırmalıdırlar. Kredit ASF — açıq mənbəli layihələrin təhlükəsizliyini öyrənmək üçün Claude agentlərindən istifadə edərək tapılmış, Apache Storm tərəfindən təsdiqlənmiş və hesabat verilmişdir.