CVE-2026-82433 in Storm
الملخص
بحسب VulDB • 14/09/2026
الوصف
كانت الدالة `getNimbusConf` تُرجع التكوين الكامل للوحدة الخلفية (daemon) دون حذف أي معلومات حساسة، بعد إجراء فحص تفويض على مستوى المستخدم فقط. وفي الحالات التي يكون فيها العنقود (cluster) مُهيأً باستخدامها، يتضمن هذا الرد كلًا من `storm.zookeeper.auth.payload` وكلمات مرور مستودع المفاتيح (keystore) ومستودع المصداقية (truststore) الخاصة بتكوينات TLS لبروتوكولات Thrift وNetty وZooKeeper. نظرًا لأن المشروع يقوم بإخفاء كلمات المرور في أماكن أخرى قبل عرضها، فإن هذا الإغفال هنا غير متسق ولا يُقصد به عمداً.
وقد ساهم نقطة النهاية (endpoint) الخاصة بواجهة المستخدم `/api/v1/cluster/configuration` في تفاقم هذه المشكلة. فلم تكن تحمل التعليمة البرمجية `@AuthNimbusOp`، وعاملت فلتر التفويض غيابها على أنها "لا حاجة لبوابة تفويض"، مما أدى إلى العودة الفورية دون تطبيق أي فحص خاص بالمستخدمين. وبالتالي، لم يطبق نقطة النهاية أي تحقق من التفويض لكل مستخدم على حدة، بل عمل كوكيل (proxy) للطلب تحت هوية الوحدة الخلفية لواجهة المستخدم نفسها. وبذلك، حصل أي مستخدم قادر على تجاوز `ui.filter` على التكوين الكامل، بما في ذلك الهويات (principals) التي كانت سترفضها وحدة Nimbus ذاتها.
التخفيف من الآثار
قم بالترقية إلى الإصدار 3.1.0، حيث يتم إخفاء القيم الحساسة قبل تقديم التكوين، ويجب أن تعلن كل نقطة نهاية لواجهة المستخدم عن تفويضها بشكل صريح.
يجب على المستخدمين الذين لا يمكنهم الترقية فوراً وضع واجهة المستخدم خلف وكيل عكسي (reverse proxy) يقوم بالمصادقة ويقيّد الوصول إلى `/api/v1/cluster/configuration`، كما يجب عليهم تدوير حمولة المصادقة الخاصة بـ ZooKeeper وأي كلمات مرور لمستودع المفاتيح أو مستودع المصداقية الخاصة بـ TLS التي كانت متاحة عبر هذه النقطة.
الإسناد
تم اكتشاف الثغرة بواسطة ASF -- باستخدام وكلاء Claude لدراسة أمن المشاريع مفتوحة المصدر، وتم التحقق منها والإبلاغ عنها من قبل Apache Storm.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.