CVE-2026-59739 in ZooKeeper
Zusammenfassung
von VulDB • 16.09.2026
Offenlegung von Informationen durch SetWatches-Reconnect-Replay in Apache ZooKeeper aufgrund einer fehlenden ACL-Prüfung. Ein Angreifer kann ACL-geschützte Pfade entdecken, indem er Exists-Watches auf nicht vorhandene Pfade registriert und sich anschließend neu verbindet, nachdem die Pfade mit eingeschränkten ACLs erstellt wurden. Das Problem wird durch eine unvollständige Korrektur für CVE-2024-23944 (ZOOKEEPER-4799) verursacht. Die Korrektur fügte der WatchManager.triggerWatch()-Methode eine ACL-Prüfung hinzu. DataTree.setWatches() – der SetWatches/SetWatches2-Reconnect-Replay-Handler – ruft jedoch weiterhin watcher.process(event) mit null-Aufrufkontext auf, wodurch die Prüfung vollständig umgangen wird. Es ist wichtig zu beachten, dass durch diese Schwachstelle nur der Pfad offengelegt wird und nicht die Daten des Znodes; da der Znode-Pfad jedoch sensible Informationen wie Benutzernamen oder Login-IDs enthalten kann, ist dieses Problem potenziell kritisch.
Benutzern wird empfohlen, auf Version 3.9.6 oder 3.8.7 zu aktualisieren, welche das Problem beheben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.