CVE-2026-35337
Açıklama
Apache Storm'da Güvenilmeyen Verilerin Deserializasyonu zafiyeti. Etkilenen Versiyonlar: 2.8.6 öncesi. Açıklama: Nimbus Thrift API aracılığıyla gönderilen topoloji kimlik bilgileri işlenirken, Storm; base64 ile kodlanmış TGT bloğunu herhangi bir sınıf filtrelemesi veya doğrulaması yapmadan ObjectInputStream.readObject() kullanarak deserialize eder. Topoloji gönderme haklarına sahip kimliği doğrulanmış bir kullanıcı, "TGT" kimlik bilgisi alanında özel olarak hazırlanmış serileştirilmiş bir nesne sağlayarak hem Nimbus hem de Worker JVM'lerinde uzaktan kod çalıştırmaya yol açabilir. Azaltma: 2.x kullanıcıları 2.8.6 sürümüne yükseltmelidir. Hemen yükseltme yapamayan kullanıcılar, deserialize edilen sınıfları javax.security.auth.kerberos.KerberosTicket ve bilinen bağımlılıklarıyla kısıtlayan bir ObjectInputFilter izin listesini ClientAuthUtils.deserializeKerberosTicket() fonksiyonuna monkey-patch yöntemiyle eklemelidir. Bunun nasıl yapılacağına dair bir kılavuz 2.8.6 sürüm notlarında mevcuttur. Kredi: Bu sorun K. tarafından keşfedilmiştir.
Nasıl düzeltilir
- apache storm2.8.6 ya da sonraki bir sürüm
- org.apache.storm:storm-client2.8.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache storm | 2.0.0 ≤ v < 2.8.6 | 2.8.6 |
| org.apache.storm:storm-clientMaven | v < 2.8.6 | 2.8.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.