CVE-2026-59739 in ZooKeeper
Riassunto
di VulDB • 16/09/2026
Divulgazione di informazioni tramite la riconnessione e il replay delle SetWatches in Apache ZooKeeper a causa della mancanza del controllo ACL. Un attaccante può scoprire percorsi con restrizioni ACL registrando watch per l'esistenza (exists-watches) su percorsi inesistenti, quindi riconnettendosi dopo che i percorsi sono stati creati con ACL ristrette. Il problema è causato da una correzione incompleta di CVE-2024-23944 (ZOOKEEPER-4799). La correzione ha aggiunto il controllo ACL a WatchManager.triggerWatch(). Tuttavia, DataTree.setWatches() — il gestore per la riconnessione e il replay delle SetWatches/SetWatches2 — continua a chiamare watcher.process(event) con un ACL null, aggirando completamente il controllo. È importante notare che questa vulnerabilità espone solo il percorso (path), non i dati dello znode; tuttavia, poiché il percorso di uno znode può contenere informazioni sensibili come nomi utente o ID di accesso, questo problema è potenzialmente critico.
Si consiglia agli utenti di eseguire l'aggiornamento alle versioni 3.9.6 e 3.8.7, che risolvono il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.