CVE-2026-82434

Açıklama ZooKeeper kimlik doğrulaması yapılandırıldığında, Storm, işçilerin buna ihtiyaç duyması nedeniyle `storm.zookeeper.topology.auth.payload` bilgisini topoloji yapılandırmasında kasıtlı olarak tutar. Ardından Nimbus, bu yapılandırmayı salt okunur topoloji izinlerine sahip olan her çağırıcıya olduğu gibi sunmuştur; böylece tek yetkisi bir topolojiyi görüntülemek olan bir kullanıcı, ZooKeeper kimlik bilgilerini almış olur. Bu kimlik bilgileri salt okunur değildir. Küme durumu uygulaması; işçi kalp atışları, geri basınç ve hata durumu için yazma yeteneğine sahip ACL'ler kullanır, dolayısıyla alıcı ilgili topoloji için bu durumu taklit edebilir veya kaldırabilir. Atamalar üzerinde bir yazma kimliği değildir. Aynı bildirim, oluşturulan yükü her gönderimde INFO seviyesinde günlüğe kaydeden gönderim istemcisini ve bunu DEBUG seviyesinde kaydeden SASL yöneticilerini de kapsamaktadır. Bu nedenle kimlik bilgileri, kümeden toplanan herhangi bir günlük toplama sistemine veya destek paketine de ulaşmıştır. Çözüm Yükün, salt okunur çağırıcılara sunulan yapılandırmadan kaldırıldığı ve artık günlüklere yazılmadığı 3.1.0 sürümüne yükseltin. Hemen yükseltme yapamayan kullanıcılar, mevcut topolojiler için `storm.zookeeper.topology.auth.payload` bilgisini döndürmeli, saklanan günlükleri ve destek paketlerini bu değer için incelemeli ve salt okunur topoloji izinlerini güvenilir sorumlularla sınırlandırmalıdır. Kredi ASF -- açık kaynaklı projelerin güvenliğini incelemek için Claude ajanlarını kullanarak bulmuş, Apache Storm tarafından doğrulanmış ve raporlanmıştır.