CVE-2026-40557

Apache Storm Prometheus Reporter'da Küresel SSL Bağlamı Düşürme Yoluyla Hatalı Sertifika Doğrulaması Etkilenen Versiyonlar: 2.6.3 ile 2.8.6 arası Açıklama: Bir yöneticinin yalnızca Prometheus reporter'ı etkilemek amacıyla storm.daemon.metrics.reporter.plugin.prometheus.skip_tls_validation seçeneğini etkinleştirdiği (varsayılan olarak devre dışıdır) üretim dağıtımlarında, belgelenmemiş küresel yan etki, Storm daemon içindeki her bir TLS korumalı iletişim kanalı genelinde bir saldırı yüzeyi oluşturur. PrometheusPreparableReporter sınıfı, boş checkClientTrusted ve checkServerTrusted metodları ile tüm SSL sertifikalarını doğrulama yapmadan kabul eden bir INSECURE_TRUST_MANAGER uygular. En kritik nokta, HTTPS Prometheus PushGateway bağlantıları için storm.daemon.metrics.reporter.plugin.prometheus.skip_tls_validation yapılandırma seçeneği etkinleştirildiğinde (varsayılan = devre dışı), INSECURE_CONNECTION_FACTORY'nin SSLContext.setDefault(sslContext) fonksiyonunu çağırmasıdır; bu durum güvensiz bağlamı yalnızca Prometheus bağlantısına uygulamak yerine, JVM'nin varsayılan SSL bağlamını küresel olarak değiştirir. Bu veri akışı storm.yaml yapılandırması → PrometheusPreparableReporter.prepare() → INSECURE_CONNECTION_FACTORY → SSLContext.setDefault() şeklinde ilerleyerek JVM genelinde bir TLS güvenlik düşürmesine neden olur. Süreçteki tüm sonraki HTTPS bağlantıları -ZooKeeper, Thrift, Netty ve UI bağlantıları dahil- kendi imzalı, süresi dolmuş ve saldırgan tarafından oluşturulmuş olanlar da dahil olmak üzere tüm sertifikalara sessizce güvenir; bu da küme durumu, topoloji gönderimleri, tuple verileri ve yönetici kimlik bilgilerinin ortadaki adam (man-in-the-middle) yöntemiyle ele geçirilmesine olanak tanır. Azaltma: Prometheus Metrics Reporter kullanan 2.x kullanıcıları 2.8.7 sürümüne yükseltmelidir. Hemen yükseltme yapamayan Prometheus Metrics Reporter kullanıcıları, storm.yaml yapılandırmalarından storm.daemon.metrics.reporter.plugin.prometheus.skip_tls_validation: true ayarını kaldırmalı ve bunun yerine PushGateway'in sertifikasını içeren uygun bir truststore yapılandırmalıdır.