CVE-2026-41081

Nome do Software Vulnerável e Versões Afetadas Apache Storm versões anteriores a 2.8.7

Descrição Quando o transporte TLS está habilitado sem exigir a autenticação de certificado do cliente, o TlsTransportPlugin atribui um principal de fallback (CN=ANONYMOUS) se nenhum certificado do cliente for apresentado ou se a verificação falhar. Isso ocorre porque a SSLPeerUnverifiedException é capturada e suprimida em vez de rejeitar a conexão. Esse comportamento de falha aberta permite que clientes não autenticados estabeleçam uma conexão TLS e recebam uma identidade de principal válida. Se o autorizador configurado, como o SimpleACLAuthorizer, não negar explicitamente o acesso ao CN=ANONYMOUS, isso pode resultar em acesso não autorizado aos serviços. Esta condição é registrada apenas no nível de depuração (debug), reduzindo a visibilidade em ambientes de produção.

Recomendações Atualizar para a versão 2.8.7. Habilitar a autenticação obrigatória de certificado do cliente definindo nimbus.thrift.tls.client.auth.required como true. Garantir que as regras de autorização neguem explicitamente o acesso ao CN=ANONYMOUS. Revisar todas as configurações de ACL para identificar comportamentos implícitos de permissão padrão (default-allow).