CVE-2026-59739 in ZooKeeper
요약
\~에 의해 VulDB • 2026. 09. 17.
Apache ZooKeeper에서 누락된 ACL 검사로 인해 SetWatches 재연결 재생 시 정보 유출이 발생합니다. 공격자는 존재하지 않는 경로에 exists-watch를 등록한 후 해당 경로가 제한된 ACL을 가지고 생성되면 다시 연결함으로써, ACL로 보호되는 경로를 발견할 수 있습니다. 이 문제는 CVE-2024-23944(ZOOKEEPER-4799)의 불완전한 수정으로 인해 발생합니다. 수정 사항에는 WatchManager.triggerWatch()에 대한 ACL 검사가 추가되었으나, SetWatches/SetWatches2 재연결 재생 핸들러인 DataTree.setWatches()는 여전히 null ACL로 watcher.process(event)를 호출하여 해당 검사를 완전히 우회합니다. 이 취약점은 znode의 데이터가 아닌 경로만 노출된다는 점에 유의해야 하지만, znode 경로에는 사용자 이름이나 로그인 ID와 같은 민감한 정보가 포함될 수 있으므로 본 문제는 잠재적으로 치명적입니다.
사용자는 문제를 해결하는 버전 3.9.6 및 3.8.7으로 업그레이드할 것을 권장합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.