CVE-2026-82428

Açıklama `storm jar --artifacts` ile yüklenen bağımlılık artifaktları, yalnızca Maven koordinatından türetilen bir blob anahtarı altında saklanıyordu (örneğin `dep---.jar`). Bu nedenle anahtar, kümenin her kullanıcısı için aynıydı ve önceden tahmin edilebiliyordu. Blob zaten mevcut olduğunda, yükleyici `KeyAlreadyExistsException` hatasını yakalıyor ve mevcut blob içeriğinin veya sahibinin gönderenin çözümlediği artifaktla eşleştiğine dair herhangi bir kontrol yapmadan onu sessizce yeniden kullanıyordu. Bu nedenle, böyle bir anahtar altında ilk blobu yükleyen kullanıcı, aynı koordinatı kullanan sonraki tüm göndericilerin worker sınıf yolunda (classpath) alacağı baytları kontrol edebiliyor ve bu durum başka bir kiracının topolojisi içinde kod çalıştırılmasına yol açıyordu. Bu durum, birden fazla asilin (principal) blob oluşturabildiği ve `--artifacts` bağımlılık özelliğinin kullanıldığı dağıtımları etkilemektedir. Çözüm Her yüklenen artifaktın yeni oluşturulmuş bir UUID taşıyan bir anahtar aldığı ve önceden var olan bir blobun artık sessizce yeniden kullanılmadığı 3.1.0 sürümüne yükseltin. Düzeltilmiş anahtar üretiminin GÖNDEREN İSTEMCİ tarafında olduğunu, dolayısıyla yalnızca kümeyi yükseltmenin bu sorunu gidermeyeceğini unutmayın; `storm jar --artifacts` komutunu çalıştıran her istemci de yükseltilmelidir. Operatörler, yükseltmeden önce mevcut `dep-` bloblarını beklenmedik sahipler açısından denetlemelidir. Hemen yükseltme yapamayan kullanıcılar, çok kiracılı kümelerde `--artifacts` mekanizmasından kaçınmalı ve bağımlılıkları bunun yerine topoloji jar dosyası içinde dağıtmalıdır. Kredi ASF -- açık kaynaklı projelerin güvenliğini incelemek için Claude ajanlarını kullanarak bulan, Apache Storm tarafından doğrulanan ve raporlanan kişi/kurum.