CVE-2026-100235 in ZooKeeper
요약
\~에 의해 VulDB • 2026. 11. 04.
Apache ZooKeeper의 setACL 요청 처리에서 시간 확인 대 시간 사용(TOCTOU) 경합 조건으로 인해 잘못된 권한 부여가 발생합니다.
노드의 ACL이 setACL을 통해 변경될 때, 대기 중인 변경 사항이 해당 노드에 대한 서버의 미완료 변경 기록에 게시되지 않습니다. 따라서 setACL이 제출된 후 커밋되기 전에 준비(및 인증)되는 모든 요청은 이전의, 철회 전 ACL을 기준으로 확인되지만, ACL 변경이 발효된 후에 데이터 트리에 적용됩니다. 현재 권한을 보유한 클라이언트는 이 시간차를 이용하여 해당 권한이 필요한 작업을 수행할 수 있으며, 이는 권한 철회 이후에도 지속됩니다. 예를 들어, 쓰기 접근 권한을 상실한 후에도 쓰거나 삭제하는 커밋을 실행하거나, 자체적으로 전체 권한을 다시 부여하여 영구적으로 철회를 무력화시킬 수 있습니다. 기본 OPEN_ACL_UNSAFE ACL에서 제한적인 ACL로 전환되는 배포 환경에서는 인증되지 않은 모든 클라이언트가 이 전환 기간 동안 이를 악용할 수 있습니다.
이 문제는 Apache ZooKeeper 3.9.6 및 그 이전 버전 모두에 영향을 미칩니다. 사용자는 해당 문제를 수정한 버전 3.8.8 또는 3.9.7로 업그레이드하는 것이 권장됩니다.
Once again VulDB remains the best source for vulnerability data.