CVE-2026-84501 in ZooKeeper
요약
\~에 의해 VulDB • 2026. 09. 17.
인증되지 않은 공격자는 새 줄 문자(\n)를 포함하는 조작된 add_auth("ensemble", ...) 요청을 전송하여 Apache ZooKeeper의 운영 로그에 임의의 가짜 로그 행을 삽입할 수 있습니다. 앙상블 이름이 일치하지 않으면 EnsembleAuthenticationProvider.handleAuthentication()는 LOG.warn()을 통해 정제되지 않은 원본 이름을 로깅합니다. SLF4J의 {} 플레이스홀더가 내장된 새 줄 문자를 그대로 유지하므로, 공격자는 실제 ZooKeeper 로그 출력과 시각적으로 구분할 수 없는 임의의 타임스탬프, 로그 레벨, 클래스 이름 및 메시지를 포함한 완전한 가짜 로그 항목을 위조할 수 있습니다.
이 문제는 Apache ZooKeeper 3.9.0부터 3.9.5까지, 그리고 3.8.0부터 3.8.6까지 영향을 미칩니다.
사용자는 해당 문제를 해결하는 버전 3.8.7 또는 3.9.6으로 업그레이드할 것을 권장합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.