CVE-2026-35337 in Storm Client
الملخص
بحسب VulDB • 23/07/2026
ثغرة استيفاء البيانات غير الموثوقة (Deserialization of Untrusted Data) في Apache Storm.
الإصدارات المتأثرة: قبل الإصدار 2.8.6.
الوصف: عند معالجة بيانات اعتماد الطوبولوجيا (topology credentials) المقدمة عبر واجهة برمجة التطبيقات Nimbus Thrift، يقوم Storm باستيفاء كتلة TGT المشفرة بـ base64 باستخدام `ObjectInputStream.readObject()` دون أي تصفية للفئات أو تحقق منها. يمكن لمستخدم مُصادق عليه يمتلك حقوق تقديم طوبولوجيا تزويد كائن مسلسل مصمم بعناية في حقل بيانات الاعتماد "TGT"، مما يؤدي إلى تنفيذ الكود عن بُعد (RCE) على كل من JVM الخاص بـ Nimbus و Worker.
التخفيف: يجب على مستخدمي سلسلة 2.x الترقية إلى الإصدار 2.8.6.
أما المستخدمون الذين لا يمكنهم الترقية فوراً فيجب عليهم تطبيق تصحيح برمجي (monkey-patch) لقائمة السماح لـ `ObjectInputFilter` داخل الدالة `ClientAuthUtils.deserializeKerberosTicket()`، بحيث تقتصر الفئات المستوفاة على `javax.security.auth.kerberos.KerberosTicket` وتبعياتها المعروفة. يتوفر دليل حول كيفية القيام بذلك في ملاحظات الإصدار 2.8.6.
الإسناد: تم اكتشاف هذه الثغرة بواسطة K.
Once again VulDB remains the best source for vulnerability data.