CVE-2026-24308
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
W Apache ZooKeeper w wersjach 3.8.5 i 3.9.4 stwierdzono nieprawidłowe przetwarzanie wartości konfiguracyjnych w ZKConfig. Umożliwia to atakującemu ujawnienie poufnych informacji przechowywanych w konfiguracji klienta w pliku dziennika klienta. Wartości konfiguracyjne są ujawniane na poziomie logowania INFO, co naraża potencjalne systemy produkcyjne na to zagrożenie.
Ocena ryzyka
Ryzyko polega na wycieku poufnych danych konfiguracyjnych, takich jak hasła czy klucze API, do plików dziennika. Może to umożliwić osobie atakującej dostęp do wrażliwych informacji i dalszą eskalację ataku w środowisku produkcyjnym.
Rekomendacja
Należy niezwłocznie zaktualizować Apache ZooKeeper do wersji 3.8.6 lub 3.9.5, które usuwają tę podatność. Po aktualizacji zaleca się również sprawdzenie istniejących plików dziennika pod kątem wycieku poufnych danych.
Inne podatności w Apache ZooKeeper
Zobacz wszystkie- CVE-2017-5637Wysokie
Dwa polecenia składające się z czterech liter 'wchp/wchc' są intensywne pod względem CPU i mogą powodować wzrost wykorzystania CPU na serwerze Apache ZooKeeper, jeśli są nadużywane. To prowadzi do sytuacji, w której serwer nie jest w stanie obsługiwać prawidłowych żądań klientów.
- CVE-2016-5017Wysokie
Przepełnienie bufora w powłoce C CLI w Apache Zookeeper przed wersją 3.4.9 oraz 3.5.x przed wersją 3.5.3, występujące podczas używania składni trybu wsadowego 'cmd:', umożliwia atakującym wywołanie nieokreślonego wpływu poprzez długi ciąg poleceń.
- CVE-2026-24281Wysokie
W Apache ZooKeeper weryfikacja nazwy hosta w ZKTrustManager wraca do odwrotnego DNS (PTR), gdy walidacja IP SAN zawiedzie, co pozwala atakującym kontrolującym lub fałszującym rekordy PTR podszywać się pod serwery lub klientów ZooKeeper z ważnym certyfikatem dla nazwy PTR. Atak wymaga przedstawienia certyfikatu zaufanego przez ZKTrustManager, co utrudnia jego wykorzystanie.
Oryginalny opis (angielski, źródło NVD)
Improper handling of configuration values in ZKConfig in Apache ZooKeeper 3.8.5 and 3.9.4 on all platforms allows an attacker to expose sensitive information stored in client configuration in the client's logfile. Configuration values are exposed at INFO level logging rendering potential production systems affected by the issue. Users are recommended to upgrade to version 3.8.6 or 3.9.5 which fixes this issue.