CVE-2026-82437

Açıklama Logviewer, operatörlerin günlük içeriğini kimlerin okuyabileceğini kontrol edebilmeleri için `logs.users` ve `logs.groups` seçeneklerini sunar. Daemon günlükleri için bu ayarlar uygulanmamaktaydı: erişim kararı, "bu bir daemon günlüğüdür" bayrağını yetkilendirici sonucuyla öyle bir şekilde birleştiriyordu ki, bayrak ayarlı olduğunda yetkilendiricinin yanıtı göz ardı ediliyordu; ayrıca daemon günlük sayfası ve indirme uç noktaları, herhangi bir yetkilendiriciye danışılmadan doğrudan işleyiciye ulaşıyordu. Bu nedenle, yapılandırılmış servlet filtresini geçebilen herhangi bir kullanıcı, her erişilebilir düğümdeki `nimbus.log`, `supervisor.log` ve diğer daemon günlüklerini okuyabiliyordu; bu günlükler diğer kiracıların topoloji adlarını, sahiplerini ve yapılandırma parçalarını içermektedir. Aynı bildirim, bir kullanıcı argümanı kabul eden ancak bunu hiçbir zaman uygulamayan günlük listeleme uç noktalarını da kapsamaktadır; böylece `/listLogs` ve `/searchLogs`, çağıran kişiden bağımsız olarak her kiracının topolojisini ve worker günlük dosyası adlarını döndürüyordu. Bu kısım yalnızca meta verileri içermektedir. Her iki davranışı da kapatan herhangi bir yapılandırma bulunmamaktaydı. Çözüm Daemon günlük yollarının, worker günlük yollarının halihazırda kullandığı aynı yapılandırılmış kullanıcı ve grup listelerini değerlendirdiği ve listeleme uç noktalarının istek yapan kullanıcıya göre filtreleme yaptığı 3.1.0 sürümüne yükseltin. Hemen yükseltme yapamayan kullanıcılar, Logviewer'ı daemon günlük uç noktalarını kısıtlayan bir ters proxy arkasına yerleştirmeli ve daemon günlük içeriğini, filtre ile kimliği doğrulanmış herhangi bir kullanıcı tarafından okunabilir olarak değerlendirmelidir. Kredi ASF -- açık kaynaklı projelerin güvenliğini incelemek için Claude ajanları kullanarak tespit edilmiş, Apache Storm tarafından doğrulanmış ve raporlanmıştır.