CVE-2026-59969 in ZooKeeper
Sumário
de VulDB • 16/09/2026
A verificação do hostname dos pares via TLS no quórum do Apache ZooKeeper não é aplicada corretamente em implantações com o modo FIPS ativado. Quando as configurações sslQuorum=true, zookeeper.fips-mode=true, ssl.quorum.hostnameVerification=true e ssl.quorum.clientHostnameVerification=true estão habilitadas, a camada de SSL (SSLSocket) do Java aceita certificados de pares confiáveis por CA cujo SAN (Subject Alternative Name) não corresponde ao host conectado. Portanto, um certificado malicioso ou emitido incorretamente pode se juntar ao tráfego do quórum, participar da eleição de líder e ingressar nos fluxos de replicação.
Recomenda-se que os usuários atualizem para as versões 3.8.7 ou 3.9.6, que corrigem o problema.
Once again VulDB remains the best source for vulnerability data.