CVE-2026-82435

Açıklama Worker'ın Netty mesaj çözücüsü, hattaki SASL kimlik doğrulama işleyicilerinden önce kurulmuştur ve herhangi bir kimlik doğrulama gerçekleşmeden önce çerçeveler üzerinde işlem yapar. Çerçevede taşınan bir uzunluk alanından gelen boyutta tamponlar ayırdığından, bir worker slot portuna erişebilen kimliği doğrulanmamış tek bir eşten gelen tek bir çerçeve, büyük bir bellek tahsisine yol açabilir. `storm.messaging.netty.authentication` varsayılan olarak false değerindedir ve çözücü her durumda bunu zorunlu kılan işleyiciden önce çalıştığından hiçbir kimlik bilgisi gerekmez. Saldırganın yalnızca bir worker portuna TCP üzerinden erişimi olması yeterlidir. Varsayılan 768 MB worker yığınındaki tek bir çerçevenin etkisi, kalıcı worker kaybı ile geçici çöp toplama (garbage-collection) baskısını ayırt etmek için ölçülmemiştir. Bu bildirime atanan önem derecesi daha ihtiyatlı okumayı yansıtmaktadır; kesin bir rakam isteyen kullanıcılar kendi worker yığın yapılandırmalarına göre test yapmalıdır. Azaltma Çerçevelerin yalnızca el sıkışma tamamlandıktan sonra çözüldüğü 3.1.0 sürümüne yükseltin. Hemen yükseltme yapamayan kullanıcılar, güvenlik modelinin halihazırda önerdiği gibi, worker slot portlarının yalnızca küme içerisinden erişilebilir olduğundan emin olmalı ve dağıtımın izin verdiği yerlerde `storm.messaging.netty.authentication` özelliğini etkinleştirmelidir. Kredi ASF -- açık kaynaklı projelerin güvenliğini incelemek için Claude ajanları kullanılarak bulunmuş, Apache Storm tarafından doğrulanmış ve raporlanmıştır.