CVE-2026-84179

Təsvir getTopologyPageInfo funksiyası Nimbus daemon konfiqurasiyasını topologiyanın öz konfiqurasiyası ilə birləşdirmiş və nəticəni TopologyPageInfo-nun topology_conf sahəsində heç bir məhdudiyyət tətbiq etmədən qaytarmışdır. Storm UI həmin dəyəri olduğu kimi GET /api/v1/topology/{id} və müvafiq metrika son nöqtələrinin (endpoint) konfiqurasiya sahəsinə kopyalamışdır. Klastrin buna uyğun konfiqurasiya edildiyi hallarda, birləşdirilmiş xəritəyə storm.zookeeper.auth.payload daxil olur ki, Storm-un öz sənədləri operatorlara bunu worker-lərdən girişi qadağan edən icazələr altında storm-cluster-auth.yaml faylında saxlamağı tövsiyə edir. Bura həmçinin Thrift, Netty və ZooKeeper TLS konfiqurasiyaları üçün keystore və truststore şifrələri, eləcə də adı gizli olduğunu bildirən istənilən plagin açarı daxildir. getTopologyPageInfo topologiya üzrə yalnız oxuma əməliyyatıdır. Buna görə də, SimpleACLAuthorizer altında topology.readonly.users və ya topology.readonly.groups siyahısında olan bir prinsipal, xüsusi klaster konfiqurasiya API-ı olan getNimbusConf tərəfindən gizlədilən və nimbus.users ilə məhdudlaşdırılan daemon etibarnamələrini oxuya bilərdi. Konfiqurasiyanı təmin etmək üçün mövcud olan paralel əməliyyatlar maskalanmışdı; lakin daha geniş daemon vəziyyətini birləşdirən topologiya səhifəsi maskalanmamışdı. Həll yolu Nimbus API vasitəsilə hər hansı konfiqurasiya təqdim edilməzdən əvvəl etibarnamə ehtiva edən dəyərlərin maskalandığı 3.1.0 versiyasına yeniləyin. Dərhal yeniləyə bilməyən istifadəçilər, klaster etibarnamələri üçün etibar edilməyən bütün prinsipalları topology.readonly.users, topology.readonly.groups, topology.users və topology.groups siyahılarından silməli, həmçinin ZooKeeper autentifikasiya yükünü və topologiya səhifəsi vasitəsilə əlçatan olan bütün TLS keystore və ya truststore şifrələrini dəyişməlidirlər. Kredit Bu problem Apache Təhlükəsizlik Komandasına Wanxin Yin (yaklang.io) tərəfindən bildirilmişdir.