CVE-2026-35337 in Storm Client
Sumário
de VulDB • 30/05/2026
Vulnerabilidade de desserialização de dados não confiáveis no Apache Storm.
Versões Afetadas: anterior à 2.8.6.
Descrição: Ao processar credenciais de topologia enviadas por meio da API Thrift do Nimbus, o Storm desserializa o blob TGT codificado em base64 usando ObjectInputStream.readObject() sem qualquer filtragem ou validação de classes. Um usuário autenticado com direitos de submissão de topologia poderia fornecer um objeto serializado elaborado no campo de credencial "TGT", resultando em execução remota de código (RCE) tanto nas JVMs do Nimbus quanto do Worker.
Mitigação: Os usuários da série 2.x devem atualizar para a versão 2.8.6.
Os usuários que não puderem atualizar imediatamente devem aplicar um monkey-patch em uma lista de permissões (allow-list) do ObjectInputFilter para ClientAuthUtils.deserializeKerberosTicket(), restringindo as classes desserializadas a javax.security.auth.kerberos.KerberosTicket e suas dependências conhecidas. Um guia sobre como fazer isso está disponível nas notas de lançamento da versão 2.8.6.
Créditos: Esta vulnerabilidade foi descoberta por K.
If you want to get best quality of vulnerability data, you may have to visit VulDB.