CVE-2026-82427

Açıklama Bir topolojinin `topology.blobstore.map` özelliği, göndericinin supervisor tarafından yerelleştirilen her bir blob için yerel bir isim seçmesine olanak tanır. Bu isim, hem `AsyncLocalizer` hem de `Container.createBlobstoreLinks` içerisinde, normalizasyon yapılmadan topolojinin çalışma dizini altında bir yol oluşturmak için kullanılıyordu ve sembolik bağlantı yardımcısı, bağlantıyı oluşturmadan önce hedefte halihazırda mevcut olan her şeyi zorla siliyordu. Bu nedenle bir gönderici, topolojinin zamanlandığı her düğümde, supervisor kullanıcısı olarak herhangi bir yola yönelik silme ve sembolik bağlantı işlemi gerçekleştirmek için `../` segmentlerini kullanabilirdi. Bunun sonuçları arasında, supervisor sahipliğindeki içeriğin özyinelemeli olarak silinmesi ve sonraki bir worker başlatımının, saldırgan tarafından seçilen kodu başka bir kiracının işletim sistemi kullanıcısı olarak yürütmesine neden olan bir sembolik bağlantı yerleştirilmesi yer alır; bu durum `supervisor.run.worker.as.user` özelliğinin sağlamayı amaçladığı izolasyonu ortadan kaldırır. Azaltma Her iki çağrı noktasında da çözümlenen hedefin beklenen kök dizin içinde olması gereken 3.1.0 sürümüne yükseltin. Hemen yükseltme yapamayan kullanıcılar, topoloji gönderimini güvenilir sorumlularla sınırlandırmalı ve `topology.blobstore.map` girişleri yol ayırıcıları veya `..` segmentleri içeren gönderimleri Nimbus'a ulaşmadan önce reddetmelidir. Kredi ASF -- açık kaynaklı projelerin güvenliğini incelemek için Claude ajanlarını kullanarak bulmuş, Apache Storm tarafından doğrulanmış ve raporlanmıştır.