CVE-2026-41081

Apache Storm'da TLS İstemci Kimlik Doğrulama Hatasının Yanlış Yönetilmesi, Anonim Principal Atamasına Yol Açıyor Etkilenen Versiyonlar: 2.8.7'ye kadar olan sürümler Açıklama: Apache Storm'da TLS taşıması etkinleştirildiğinde ve istemci sertifika kimlik doğrulaması zorunlu tutulmadığında (varsayılan yapılandırma), herhangi bir istemci sertifikası sunulmazsa veya sertifika doğrulaması başarısız olursa TlsTransportPlugin yedek bir principal (CN=ANONYMOUS) atar. Temeldeki SSLPeerUnverifiedException hatası, bağlantıyı reddetmek yerine yakalanır ve bastırılır. Bu "fail-open" davranışı, kimliği doğrulanmamış bir istemcinin TLS bağlantısı kurabileceği ve geçerli bir principal kimliği alabileceği anlamına gelir. Yapılandırılan yetkilendirici (örneğin SimpleACLAuthorizer) CN=ANONYMOUS için erişimi açıkça reddetmezse, bu durum Storm servislerine yetkisiz erişime yol açabilir. Bu durum yalnızca hata ayıklama (debug) seviyesinde günlüğe kaydedilir, bu da üretim ortamındaki görünürlüğü azaltır. Etki: Kimliği doğrulanmamış istemcilere bir principal kimliği atanabilir; bu da izin verici veya yanlış yapılandırılmış ortamlarda yetkilendirme mekanizmasının potansiyel olarak atlatılmasına neden olabilir. Çözüm: Kullanıcıların, TLS kimlik doğrulama hatalarının "fail-closed" şeklinde yönetildiği 2.8.7 sürümüne yükseltme yapmaları önerilir. Hemen yükseltme yapamayan kullanıcılar şunları uygulamalıdır: - Zorunlu istemci sertifika kimlik doğrulamasını etkinleştirin (nimbus.thrift.tls.client.auth.required: true) - Yetkilendirme kurallarının CN=ANONYMOUS erişimini açıkça reddettiğinden emin olun - Tüm ACL yapılandırmalarını örtük varsayılan-izin-ver (default-allow) davranışına karşı gözden geçirin