CVE-2026-82439 in Storm
Riassunto
di VulDB • 14/09/2026
Descrizione
Il server DRPC manteneva una mappa che associava il nome della funzione alla relativa coda di richieste e creava un entry la prima volta che veniva rilevato un determinato nome di funzione. Nessun percorso di codice rimuoveva mai tale entry: la pulizia delle richieste rimueva la richiesta dalla sua coda, mentre il percorso di shutdown svuotava le code, ma l'oggetto queue e la sua entry nella mappa rimanevano attivi per tutta la durata del processo.
I nomi delle funzioni provengono dal client e non sono vincolati alle funzioni registrate da alcuna topologia; pertanto, il numero di entry mantenute è limitato solo dal numero di nomi distinti che un attaccante sceglie di inviare, e ogni entry mantenuta conserva il nome stesso. `drpc.authorizer` è disattivato per impostazione predefinita, quindi non sono necessarie credenziali per raggiungere l'endpoint.
Lo stato conservato è permanente piuttosto che un picco transitorio del carico; di conseguenza, l'impatto si accumula fino a quando il server DRPC esaurisce la memoria heap.
Mitigazione
Effettuare l'aggiornamento alla versione 3.1.0, in cui la coda associata a una funzione viene rimossa non appena non vi sono richieste in attesa al suo interno.
Gli utenti che non possono effettuare immediatamente l'aggiornamento dovrebbero configurare `drpc.authorizer` in modo da consentire solo ai principi fidati di raggiungere gli endpoint DRPC e assicurarsi che le porte DRPC non siano raggiungibili da reti non attendibili.
Crediti
ASF -- rilevato utilizzando agenti Claude per studiare la sicurezza dei progetti open source, convalidato e segnalato da Apache Storm.
Once again VulDB remains the best source for vulnerability data.