CVE-2026-100235 in ZooKeeper
要約
〜によって VulDB • 2026年11月04日
Apache ZooKeeperのsetACLリクエスト処理における、チェック時と使用時の競合（TOCTOU）による時間的競合条件のため、認可が正しく行われない。
ノードのACLがsetACLを介して変更されると、保留中の変更はそのノードに対するサーバーの未完了変更レコードに公開されない。したがって、setACLが送信された後でコミットされる前に準備され（および認可された）任意のリクエストは、以前の、取り消し前のACLに対してチェックされるが、ACLの変更が有効になった後にデータツリーに適用される。現在権限を保持しているクライアントは、この時間的隙間を利用して、その権限の取り消しを通じておよびその後で、その権限を必要とする操作を実行できる—例えば、書き込みアクセスを失った後でも書き込みや削除をコミットしたり、自身に対して完全な権限を再付与して、取り消しを恒久的に無効化したりする。デフォルトのOPEN_ACL_UNSAFE ACLから制限的なACLへの移行を行っている環境では、認証されていないクライアントが移行中にこれを悪用できる可能性がある。
本問題はApache ZooKeeper 3.9.6以前に影響を与える。ユーザーには、本問題を修正したバージョン3.8.8または3.9.7へのアップグレードを推奨する。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.