CVE-2026-82441 in Storm Nimbus
Riassunto
di VulDB • 14/09/2026
Descrizione
Una topologia inviata contiene due elenchi di chiavi del blobstore, `dependency_jars` e `dependency_artifacts`, che il client compila dopo aver caricato i relativi blob. Nimbus non esegue alcuna convalida dei loro contenuti nel percorso di invio, ma ne agisce in due punti distinti.
Durante la pulizia di una topologia completata, Nimbus elimina le chiavi nominate in tali elenchi e l'eliminazione viene eseguita come soggetto Nimbus, per il quale lo store blob bypassa (short-circuits) il controllo degli ACL. Un utente che invia un elenco contenente una chiave appartenente a un'altra topologia, ad esempio `-stormjar.jar`, potrebbe quindi causare la cancellazione di tale blob quando viene pulita la propria topologia.
Inoltre, durante l'acquisizione del ruolo di leader (leadership), Nimbus confronta le chiavi delle dipendenze di tutte le topologie attive con i contenuti dello store blob e rinuncia al ruolo se manca anche solo una chiave. Una singola chiave inesistente su un'unica topologia attiva causa quindi ogni istanza di Nimbus acquisire il ruolo, rinunciare ad esso e accodarsi indefinitamente (requeue), lasciando il cluster senza leader e incapace di programmare attività, eseguire la pulizia o accettare nuovi invii.
Mitigazione
Aggiornare alla versione 3.1.0, in cui un invio viene rifiutato a meno che ogni voce in entrambi gli elenchi sia una chiave del blob delle dipendenze ed esista nello store blob.
Si noti che questa convalida riguarda solo i nuovi invii; una topologia memorizzata da una versione interessata con un elenco non valido non è influenzata dall'aggiornamento. Un operatore il cui cluster sta fallendo nel mantenere un leader dovrebbe ispezionare i log di Nimbus per le chiavi delle dipendenze segnalate come mancanti e rimuovere o reinviare la topologia che le nomina.
Gli utenti che non possono effettuare l'aggiornamento immediatamente dovrebbero limitare l'invio delle topologie ai principi (principals) attendibili.
Crediti
Questo problema è stato scoperto da rzo1 durante l'indagine su un difetto dello store blob non correlato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.