CVE-2026-40557

إصدارات Apache Storm من 2.6.3 إلى 2.8.6

يحدث التحقق غير الصحيح من صحة الشهادات في Prometheus Reporter عند تمكين الإعداد storm.daemon.metrics.reporter.plugin.prometheus.skip tls validation. تستخدم فئة PrometheusPreparableReporter INSECURE TRUST MANAGER الذي يقبل جميع شهادات SSL دون التحقق من صحتها عبر طريقتي checkClientTrusted وcheckServerTrusted الفارغتين. عندما يكون الإعداد المذكور أعلاه نشطًا، يقوم INSECURE CONNECTION FACTORY بتنفيذ SSLContext.setDefault(sslContext)، مما يؤدي إلى استبدال سياق SSL الافتراضي لآلة Java الافتراضية (JVM) بأكملها بدلاً من قصر السياق غير الآمن على اتصال Prometheus. ونتيجة لذلك، فإن جميع اتصالات HTTPS داخل العملية، بما في ذلك اتصالات ZooKeeper وThrift وNetty وواجهة المستخدم (UI)، تثق في جميع الشهادات، بما في ذلك الشهادات الموقعة ذاتيًا أو تلك التي أنشأها المهاجمون، مما يسمح باعتراض «الرجل في الوسط» لبيانات اعتماد الإدارة، وعمليات إرسال التوبولوجيا، وحالة الكتلة، وبيانات التوبول.

قم بالترقية إلى الإصدار 2.8.7.

قم بإزالة الإعداد storm.daemon.metrics.reporter.plugin.prometheus.skip tls validation: true من ملف التكوين storm.yaml وقم بتكوين مخزن ثقة مناسب يحتوي على شهادة PushGateway.