CVE-2026-82432

Açıklama Nimbus, `topology.blobstore.map` değerini yalnızca gönderim sırasında çağıran özneye göre doğrulamaktaydı. Yeniden dengeleme (rebalance) işlemi yapılandırma geçersiz kılmalarını kabul etmekte ve bunlardan küçük bir anahtar kümesini ayıklamaktaydı ancak bu doğrulamayı hiçbir zaman yeniden çalıştırmıyordu; bu nedenle bir topolojiyi yeniden dengelemeye yetkili bir çağırıcı, ACL'sinin kendisine erişim izni vermediği bir bloğu adlandıran bir blobstore harita girişi ekleyebiliyordu. Denetleyiciler (Supervisors), haritanın adlandırdığı anahtarı yerelleştirerek bloğun içeriğini topolojinin çalışma dizinine yerleştirmekteydi. Aynı bildirim, komşu `getBlobMeta` ve `beginBlobDownload` işlemlerinin aksine herhangi bir yetkilendirme kontrolü yapmayan ve hiçbir özne iletmeyen `listBlobs` işlemini de kapsamaktadır. Bu nedenle, Nimbus Thrift portuna erişebilen her çağırıcıya blobstore'daki tüm anahtarları döndürmekteydi ve bu da yukarıdaki durumu uygulanabilir kılan anahtar isimlerini sağlamaktaydı. Tek başına bu ifşaat yalnızca üstveri (metadata) düzeyindedir. Çözüm Yeniden dengeleme yapılandırma geçersiz kılmalarının, tıpkı gönderim sırasındaki yapılandırma gibi yeniden dengeleme işlemini yapan çağırıcıya karşı doğrulandığı ve `listBlobs` işleminin yapılandırılmış yetkilendirmeyi uyguladığı 3.1.0 sürümüne yükseltin. Hemen yükseltme yapamayan kullanıcılar, bir topolojinin `topology.users` veya `topology.groups` üyeliğinin bu hakları verdiği göz önünde bulundurularak, yeniden dengeleme haklarını güvenilir sorumlularla sınırlandırmalıdır. Katkıda Bulunanlar ASF -- açık kaynaklı projelerin güvenliğini incelemek için Claude ajanlarını kullanarak bulan, Apache Storm tarafından doğrulanan ve raporlanan.