PT-2026-35414 · Apache · Apache Storm
CVSS v3.1
6.5
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Storm الأقدم من 2.8.7
الوصف
عند تمكين نقل TLS دون اشتراط مصادقة شهادة العميل، يقوم المكون الإضافي
TlsTransportPlugin بتعيين هوية رئيسية احتياطية (CN=ANONYMOUS) في حالة عدم تقديم شهادة العميل أو فشل عملية التحقق. يحدث هذا لأن استثناء SSLPeerUnverifiedException يتم التقاطه وقمعه بدلاً من رفض الاتصال. يسمح سلوك «الفشل المفتوح» (fail-open) هذا للعملاء غير المصادق عليهم بإنشاء اتصال TLS والحصول على هوية رئيسية صالحة. إذا لم يقم المُصرح المُهيأ، مثل SimpleACLAuthorizer، برفض الوصول إلى CN=ANONYMOUS صراحةً، فقد يؤدي ذلك إلى وصول غير مصرح به إلى الخدمات. يتم تسجيل هذه الحالة فقط على مستوى التصحيح، مما يحد من إمكانية رؤيتها في بيئات الإنتاج.التوصيات
قم بالتحديث إلى الإصدار 2.8.7.
قم بتمكين المصادقة الإلزامية لشهادة العميل عن طريق تعيين
nimbus.thrift.tls.client.auth.required إلى true.تأكد من أن قواعد التفويض ترفض صراحةً الوصول إلى CN=ANONYMOUS.
راجع جميع تكوينات قائمة التحكم في الوصول (ACL) بحثًا عن سلوك السماح الافتراضي الضمني.
استغلال
إصلاح
Improper Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Apache Storm