CVE-2026-82429

Açıklama setuid-root olan `worker-launcher` ikili dosyası, etkili bir uid 0 ile çalışırken FTS ile ağaç yapısını gezerek ve her girdinin tam yol adı üzerinde `lchown` ve `chmod` çağrıları yaparak çalışan dizinlerin sahipliğini ve izinlerini ayarlar. Her iki sistem çağrısı da FTS girdiyi sınıflandırdıktan sonra, çağrı anında yolu yeniden çözer ve gezilen ağaçlar güvenilmeyen topoloji kullanıcısına ait olup onun tarafından yazılabilir durumdadır. Bu nedenle, bir denetleyici düğümde kod çalıştıran bir kiracı, sınıflandırma ile ayrıcalıklı işlem arasında ara bir dizin bileşenini sembolik bir bağlantıyla değiştirerek, root sahipliğindeki `lchown` veya `chmod` işlemini ana makinedeki rastgele bir dosyaya yönlendirebilir. Bir çalışanı çökertmek yeniden başlatmayı zorunlu kıldığından ve blob güncellemeleri gezinmeyi yeniden çalıştırdığından, işlem isteğe bağlı olarak tekrarlanabilir; dolayısıyla başarısız bir girişim saldırgana hiçbir maliyet getirmez. Bu durum, `supervisor.run.worker.as.user` ve konteyner izolasyonunun uygulamayı amaçladığı sınırı ihlal eder. Bu, söz konusu kodun türetildiği Hadoop container-executor sorunlarıyla aynı hata sınıfındadır. Azaltma Ayrıcalıklı gezinmenin, çağrı anında yeniden çözülen yol adları yerine halihazırda stat işlemi yapılmış dosya tanımlayıcıları üzerinden çalıştığı 3.1.0 sürümüne yükseltin. Hemen yükseltme yapamayan kullanıcılar, başlatıcı aşılmaya çalışılan sınır olduğu için `supervisor.run.worker.as.user` ile yapılandırılmış denetleyicilerde güvenilmeyen topoloji kodu çalıştırmamalıdır. Yükseltmeden sonra başlatıcının yeniden derlenmesi ve yeniden kurulması gerektiğini unutmayın; yalnızca Java artefaktlarını değiştirmek yeterli değildir. Kredi ASF -- açık kaynaklı projelerin güvenliğini incelemek için Claude ajanlarını kullanarak bulan, Apache Storm tarafından doğrulanan ve raporlanan.