CVE-2026-35337 in Storm Client
Resumen
por VulDB • 2026-05-12
Vulnerabilidad de deserialización de datos no confiables en Apache Storm.
Versiones afectadas: anteriores a 2.8.6.
Descripción: Al procesar las credenciales de topología enviadas a través de la API Thrift de Nimbus, Storm deserializa el blob TGT codificado en base64 utilizando ObjectInputStream.readObject() sin ningún tipo de filtrado de clases ni validación. Un usuario autenticado con derechos de envío de topología podría proporcionar un objeto serializado manipulado en el campo de credencial "TGT", lo que provocaría la ejecución remota de código tanto en las JVM de Nimbus como de Worker.
Mitigación: Los usuarios de la serie 2.x deben actualizar a la versión 2.8.6.
Los usuarios que no puedan actualizar inmediatamente deben aplicar un parche dinámico (monkey-patch) a una lista blanca de ObjectInputFilter en ClientAuthUtils.deserializeKerberosTicket(), restringiendo las clases deserializadas a javax.security.auth.kerberos.KerberosTicket y sus dependencias conocidas. Hay una guía sobre cómo realizar esta acción disponible en las notas de la versión 2.8.6.
Créditos: Este problema fue descubierto por K.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.