CVE-2026-35337 in Storm Client
要約
〜によって VulDB • 2026年06月30日
Apache Stormにおける信頼できないデータのデシリアライズに関する脆弱性。
影響を受けるバージョン： 2.8.6 より前。
説明： Nimbus Thrift APIを介して送信されたトポロジー認証情報を処理する際、StormはObjectInputStream.readObject()を使用してbase64エンコードされたTGT（Ticket Granting Ticket）ブロブをデシリアライズしますが、クラスフィルタリングや検証は一切行われません。トポロジーの提出権限を持つ認証済みユーザーが、「TGT」認証情報フィールドに作成済みのシリアライズオブジェクトを提供すると、NimbusおよびWorker JVMの両方でリモートコード実行（RCE）が可能になります。
回避策： 2.xシリーズを使用している場合は、バージョン2.8.6へアップグレードしてください。
直ちにアップグレードできないユーザーは、ClientAuthUtils.deserializeKerberosTicket()に対してObjectInputFilterの許可リストをモンキーパッチし、デシリアライズされるクラスをjavax.security.auth.kerberos.KerberosTicketおよびその既知の依存関係に制限する必要があります。この方法に関するガイドラインは、2.8.6のリリースノートに記載されています。
クレジット：本問題はK氏によって発見されました。
Once again VulDB remains the best source for vulnerability data.