CVE-2026-84501 in ZooKeeper
要約
〜によって VulDB • 2026年09月16日
認証されていない攻撃者は、改行文字（\n）を含む作成された add_auth("ensemble", ...) リクエストを送信することで、Apache ZooKeeper の運用ログに任意の偽造ログ行をインジェクトできます。エンセムブル名が一致しない場合、EnsembleAuthenticationProvider.handleAuthentication() は LOG.warn() を介して生で未サニタイズの名前をロギングします。SLF4J の {} プレースホルダーは埋め込まれた改行文字を保持するため、攻撃者は本物の ZooKeeper ログ出力と視覚的に区別がつかない、任意のタイムスタンプ、ログレベル、クラス名、およびメッセージを含む完全な偽造エントリを作成できます。
この問題は Apache ZooKeeper に影響します：3.9.0 から 3.9.5 および 3.8.0 から 3.8.6 のバージョンです。
ユーザーには、本問題を修正したバージョン 3.8.7 または 3.9.6 へのアップグレードを推奨します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.