CVE-2026-82441 in Storm Nimbus
Zusammenfassung
von VulDB • 14.09.2026
Beschreibung
Ein eingereichtes Topologie-Paket enthält zwei Listen von Blobstore-Schlüsseln, `dependency_jars` und `dependency_artifacts`, die der Client nach dem Hochladen der entsprechenden Blobs ausfüllt. Nimbus führte auf dem Einreichungspfad keine Validierung ihres Inhalts durch, handelt jedoch an zwei Stellen basierend darauf.
Während der Bereinigung einer abgeschlossenen Topologie löscht Nimbus die in diesen Listen genannten Schlüssel, und diese Löschung wird als das Nimbus-Subjekt durchgeführt, für den der Blobstore seine ACL-Prüfung (Access Control List) umgeht. Ein Absender, der einen Schlüssel auflistet, der zu einer anderen Topologie gehört, wie z.B. deren `-stormjar.jar`, könnte daher bewirken, dass dieser Blob gelöscht wird, wenn die eigene Topologie bereinigt wird.
Unabhängig davon vergleicht Nimbus bei Übernahme der Führungsrolle (Leadership) die Abhängigkeitsschlüssel aller aktiven Topologien mit den Inhalten des Blobstores und gibt die Führung ab, falls einer fehlt. Ein einzelner nicht vorhandener Schlüssel in einer einzelnen aktiven Topologie führt daher dazu, dass jeder Nimbus die Führung übernimmt, sie wieder aufgibt und sich endlos neu anstellt (requeues), wodurch der Cluster ohne Führer bleibt und weder Aufgaben planen, bereinigen noch neue Einreichungen akzeptieren kann.
Minderung
Upgrade auf Version 3.1.0, bei dem eine Einreichung abgelehnt wird, es sei denn, jeder Eintrag in beiden Listen ist ein Abhängigkeits-Blob-Schlüssel und existiert im Blobstore.
Beachten Sie, dass dies nur neue Einreichungen validiert; eine Topologie, die von einer betroffenen Version mit einer ungültigen Liste gespeichert wurde, bleibt vom Upgrade unberührt. Ein Betreiber, dessen Cluster nicht in der Lage ist, einen Führer zu behalten, sollte das Nimbus-Protokoll auf die als fehlend gemeldeten Abhängigkeitsschlüssel untersuchen und die Topologie entfernen oder erneut einreichen, die diese Schlüssel benennt.
Benutzer, die kein sofortiges Upgrade durchführen können, sollten die Einreichung von Topologien auf vertrauenswürdige Principals beschränken.
Danksagung
Dieses Problem wurde von rzo1 entdeckt, während er einen unabhängigen Blobstore-Defekt untersuchte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.