CVE-2026-82433

Açıklama `getNimbusConf`, yalnızca kullanıcı düzeyinde bir yetkilendirme kontrolünden sonra, herhangi bir gizleme işlemi yapmadan tüm daemon yapılandırmasını döndürüyordu. Kümenin bu değerlerle yapılandırıldığı durumlarda, yanıt; `storm.zookeeper.auth.payload` ile Thrift, Netty ve ZooKeeper TLS yapılandırmaları için kullanılan keystore ve truststore parolalarını içermektedir. Proje, parolaları görüntülemeden önce diğer yerlerde maskelediği için buradaki eksiklik kasıtlı değil, tutarsız bir durumdur. `/api/v1/cluster/configuration` UI uç noktası bu durumu daha da kötüleştirmiştir. Bu uç nokta `@AuthNimbusOp` anotasyonuna sahip değildi ve yetkilendirme filtresi, eksik bir anotasyonu "kapı gerekmiyor" şeklinde değerlendirip hemen geri döndüğü için uç nokta hiçbir kullanıcı bazlı kontrol uygulamamış ve isteği UI daemon'ının kendi kimliği altında proxy etmiştir. Bu nedenle, `ui.filter` aşamasını geçebilen her kullanıcı, Nimbus'un kendisinin reddedeceği kimlikler de dahil olmak üzere tam yapılandırmayı almıştır. Çözüm Kimlik bilgisi içeren değerlerin yapılandırma sunulmadan önce maskelendiği ve her UI API uç noktasının yetkilendirmesini açıkça beyan etmesi gerektiği 3.1.0 sürümüne yükseltin. Hemen yükseltme yapamayan kullanıcılar, UI'ı `/api/v1/cluster/configuration` erişimini kısıtlayan kimlik doğrulama yapan bir reverse proxy arkasına yerleştirmeli; ayrıca ZooKeeper kimlik doğrulama yükünü ve bunun üzerinden erişilebilen tüm TLS keystore veya truststore parolalarını değiştirmelidir. Kredi ASF -- açık kaynak projelerin güvenliğini incelemek için Claude ajanlarını kullanarak bulan, Apache Storm tarafından doğrulanan ve raporlanan.