CVE-2026-82441 in Storm Nimbus
요약
\~에 의해 VulDB • 2026. 09. 15.
설명
제출된 토폴로지에는 `dependency_jars` 및 `dependency_artifacts`라는 두 가지 목록의 blobstore 키가 포함되어 있으며, 클라이언트는 해당 블롭을 업로드한 후에 이들을 채웁니다. Nimbus는 제출 경로에서 그 내용들에 대해 어떠한 검증도 수행하지 않았지만, 두 곳에서 이를 처리합니다.
완료된 토폴로지의 정리 과정에서 Nimbus는 해당 목록에 명시된 키를 삭제하며, 이 삭제 작업은 blobstore가 ACL 검사를 단락(short-circuits)시키는 Nimbus 주체(Nimbus subject)로서 수행됩니다. 따라서 다른 토폴로지(예: 그 `-stormjar.jar`)의 키를 나열한 제출자는 자신의 토폴로지가 정리될 때 해당 블롭이 삭제되도록 할 수 있습니다.
별개로, Nimbus가 리더십을 획득할 때 모든 활성(topology) 토폴로지의 의존성 키를 blobstore 내용과 비교하며, 누락된 항목이 있으면 리더십을 포기합니다. 단일 활성 토폴로지 내에 존재하지 않는 키 하나만으로도 모든 Nimbus가 리더십을 획득하고 포기한 후 무기한으로 재큐(requeue)되어 클러스터에 리더가 없게 되며, 스케줄링, 정리 또는 제출 수신이 불가능해집니다.
완화 조치
3.1.0 버전으로 업그레이드하십시오. 이 버전에서는 두 목록의 모든 항목이 blobstore 내에 존재하는 의존성 블롭 키인 경우에만 제출이 거부됩니다.
이 조치는 새로운 제출만 검증한다는 점에 유의하십시오. 유효하지 않은 목록을 가진 채로 영향을 받는 버전에서 저장된 토폴로지는 업그레이드의 영향을 받지 않습니다. 리더를 유지하지 못해 클러스터가 실패하는 운영자는 Nimbus 로그를 검사하여 누락된 것으로 보고된 의존성 키를 확인하고, 해당 키들을 명명한 토폴로지를 제거하거나 다시 제출하십시오.
즉시 업그레이드할 수 없는 사용자는 토폴로지 제출을 신뢰할 수 있는 주체(principals)에게만 제한해야 합니다.
크레딧
이 문제는 rzo1에 의해 발견되었으며, 이는 관련 없는 blobstore 결함을 조사하는 과정에서 확인되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.