CVE-2026-82441 in Storm Nimbus
Resumen
por VulDB • 2026-09-14
Descripción
Una topología enviada contiene dos listas de claves del almacén de blobs, `dependency_jars` y `dependency_artifacts`, que el cliente rellena tras cargar los blobs correspondientes. Nimbus no realizó ninguna validación sobre su contenido en la ruta de envío, pero actúa sobre ellos en dos lugares.
Durante la limpieza de una topología finalizada, Nimbus elimina las claves nombradas en esas listas, y dicha eliminación se realiza como el sujeto de Nimbus, para lo cual el almacén de blobs omite (short-circuits) su verificación ACL. Un remitente que haya incluido una clave perteneciente a otra topología, como su `-stormjar.jar`, podría por tanto provocar la eliminación de ese blob cuando su propia topología se limpie.
Por separado, al adquirir el liderazgo, Nimbus compara las claves de dependencia de todas las topologías activas con los contenidos del almacén de blobs y renuncia al liderazgo si falta alguna. Una única clave que no exista en una sola topología activa provoca por tanto que cada instancia de Nimbus adquiera el liderazgo, la renuncie y vuelva a ponerla en cola indefinidamente, dejando al clúster sin líder e incapaz de programar tareas, realizar limpiezas o aceptar nuevos envíos.
Mitigación
Actualice a 3.1.0, donde se rechazará un envío si no todas las entradas de ambas listas son claves de blob de dependencia y existen en el almacén de blobs.
Tenga en cuenta que esto valida únicamente los nuevos envíos; una topología almacenada por una versión afectada con una lista inválida no se ve afectada por la actualización. Un operador cuyo clúster falle al retener un líder debería inspeccionar el registro (log) de Nimbus para identificar las claves de dependencia informadas como faltantes y eliminar o volver a enviar la topología que las nombra.
Los usuarios que no puedan actualizar inmediatamente deberían restringir el envío de topologías a principios confiables.
Créditos
Este problema fue descubierto por rzo1 mientras investigaba un defecto del almacén de blobs sin relación con este tema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.