PT-2026-35414
CVE-2026-41081
·
تاريخ النشر
2026-04-27
·
تاريخ التحديث
2026-04-28
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Storm الأقدم من 2.8.7
الوصف
عند تمكين نقل TLS دون اشتراط مصادقة شهادة العميل، يقوم المكون الإضافي
TlsTransportPlugin بتعيين هوية رئيسية احتياطية (CN=ANONYMOUS) في حالة عدم تقديم شهادة العميل أو فشل عملية التحقق. يحدث هذا لأن استثناء SSLPeerUnverifiedException يتم التقاطه وقمعه بدلاً من رفض الاتصال. يسمح سلوك «الفشل المفتوح» (fail-open) هذا للعملاء غير المصادق عليهم بإنشاء اتصال TLS والحصول على هوية رئيسية صالحة. إذا لم يقم المُصرح المُهيأ، مثل SimpleACLAuthorizer، برفض الوصول إلى CN=ANONYMOUS صراحةً، فقد يؤدي ذلك إلى وصول غير مصرح به إلى الخدمات. يتم تسجيل هذه الحالة فقط على مستوى التصحيح، مما يحد من إمكانية رؤيتها في بيئات الإنتاج.التوصيات
قم بالتحديث إلى الإصدار 2.8.7.
قم بتمكين المصادقة الإلزامية لشهادة العميل عن طريق تعيين
nimbus.thrift.tls.client.auth.required إلى true.تأكد من أن قواعد التفويض ترفض صراحةً الوصول إلى CN=ANONYMOUS.
راجع جميع تكوينات قائمة التحكم في الوصول (ACL) بحثًا عن سلوك السماح الافتراضي الضمني.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾