CVE-2026-59739

Nome do Software Vulnerável e Versões Afetadas Apache ZooKeeper versões anteriores a 3.9.6 Apache ZooKeeper versões anteriores a 3.8.7

Description Um problema de divulgação de informações existe devido a uma verificação de Lista de Controle de Acesso (ACL) ausente durante o replay de reconexão SetWatches. Um invasor pode descobrir caminhos restritos por ACL ao registrar exists-watches em caminhos inexistentes e, em seguida, reconectar após esses caminhos serem criados com ACLs restritas. Isso ocorre porque o manipulador DataTree.setWatches() chama watcher.process(event) com um ACL nulo, ignorando a verificação de segurança implementada em WatchManager.triggerWatch(). Embora os dados dentro do znode não sejam expostos, o próprio caminho do znode pode conter informações sensíveis, como nomes de usuário ou IDs de login.

Recommendations Atualizar para a versão 3.9.6. Atualizar para a versão 3.8.7.