CVE-2026-84179

Nome do Software Vulnerável e Versões Afetadas Apache Storm versões anteriores a 3.1.0

Descrição A função getTopologyPageInfo mescla a configuração do daemon Nimbus com a configuração da topologia e retorna o resultado sem redação no campo topology conf de TopologyPageInfo. Esse valor é então copiado integralmente para o campo de configuração dos endpoints de API GET /api/v1/topology/{id} e no endpoint de métricas correspondente. Isso permite que usuários com permissões de apenas leitura, especificamente aqueles listados em topology.readonly.users ou topology.readonly.groups sob o SimpleACLAuthorizer, acessem credenciais sensíveis do daemon. Essas credenciais podem incluir storm.zookeeper.auth.payload, senhas de keystore e truststore para configurações TLS do Thrift, Netty e ZooKeeper, e quaisquer chaves de plugin que denotem segredos.

Recomendações Atualize para a versão 3.1.0. Remova qualquer principal não confiável com credenciais do cluster de topology.readonly.users, topology.readonly.groups, topology.users e topology.groups. Rotacione o payload de autenticação do ZooKeeper e quaisquer senhas de keystore ou truststore TLS que estavam acessíveis através da página de topologia.