CVE-2026-84501

Kimliği doğrulanmamış bir saldırgan, yeni satır karakterleri (\n) içeren özel olarak hazırlanmış bir add_auth("ensemble", ...) isteği göndererek Apache ZooKeeper operasyonel günlüğüne rastgele sahte günlük satırları enjekte edebilir. Topluluk (ensemble) adı eşleşmediğinde, EnsembleAuthenticationProvider.handleAuthentication() ham ve temizlenmemiş adı LOG.warn() aracılığıyla günlüğe kaydeder. SLF4J'nin {} yer tutucusu gömülü yeni satırları koruduğu için saldırgan; rastgele zaman damgaları, günlük seviyeleri, sınıf adları ve mesajlar içeren ve gerçek ZooKeeper günlük çıktılarıyla görsel olarak ayırt edilemeyen eksiksiz günlük girişleri oluşturabilir. Bu sorun şu Apache ZooKeeper sürümlerini etkilemektedir: 3.9.0 ile 3.9.5 arası, 3.8.0 ile 3.8.6 arası. Kullanıcıların sorunu gideren 3.8.7 veya 3.9.6 sürümüne yükseltmeleri önerilir.