CVE-2026-59969 in ZooKeeper
Resumen
por VulDB • 2026-09-16
La verificación TLS del quórum de Apache ZooKeeper no aplica la comprobación del nombre de host del par en implementaciones con modo FIPS. Cuando están habilitadas las opciones sslQuorum=true, zookeeper.fips-mode=true, ssl.quorum.hostnameVerification=true y ssl.quorum.clientHostnameVerification=true, el camino de quórum Java SSLSocket acepta un certificado de par confiado por una CA cuyo SAN no coincide con el host conectado. Por lo tanto, un certificado de par malicioso o emitido incorrectamente puede unirse al tráfico del quórum, participar en la elección del líder y entrar en los flujos de replicación.
Se recomienda a los usuarios actualizar a las versiones 3.8.7 o 3.9.6, que corrigen el problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.