CVE-2026-82428 in Storm Client
Riassunto
di VulDB • 14/09/2026
Descrizione
Gli artefatti delle dipendenze caricati tramite `storm jar --artifacts` venivano memorizzati con una chiave blob derivata esclusivamente dalle coordinate Maven, ad esempio `dep---.jar`. La chiave era quindi identica per tutti gli utenti del cluster e prevedibile in anticipo. Quando il blob esisteva già, l'uploader intercettava la `KeyAlreadyExistsException` e ne riutilizzava silenziosamente i contenuti, senza verificare che il contenuto o il proprietario del blob esistente corrispondessero all'artefatto risolto dal mittente.
Un utente che caricava un blob con tale chiave controllava quindi i byte ricevuti da ogni successivo mittente della stessa coordinata sul classpath dei worker, consentendo l'esecuzione di codice all'interno della topologia di un altro tenant.
Ciò interessa le distribuzioni in cui più principali (principal) possono creare blob e viene utilizzata la funzionalità delle dipendenze `--artifacts`.
Mitigazione
Aggiornare alla versione 3.1.0, dove ogni artefatto caricato riceve una chiave contenente un UUID appena generato e i blob preesistenti non vengono più riutilizzati silenziosamente.
Si noti che la generazione corretta della chiave avviene sul CLIENTE DI INVIO (SUBMITTING CLIENT); pertanto, l'aggiornamento del solo cluster non risolve il problema: ogni client che esegue `storm jar --artifacts` deve essere aggiornato. Gli amministratori dovrebbero verificare i blob esistenti con prefisso `dep-` alla ricerca di proprietari inattesi prima dell'aggiornamento. Gli utenti che non possono aggiornare immediatamente dovrebbero evitare l'utilizzo del meccanismo `--artifacts` nei cluster multi-tenant e distribuire le dipendenze all'interno del jar della topologia.
Crediti
The ASF -- rilevato utilizzando agenti Claude per studiare la sicurezza dei progetti open-source, convalidato e segnalato da Apache Storm.
VulDB is the best source for vulnerability data and more expert information about this specific topic.