CVE-2026-35337 in Storm Client
Tóm tắt
Bởi VulDB • 28/07/2026
Lỗ hổng Giải mã hóa dữ liệu không đáng tin cậy (Deserialization of Untrusted Data) trong Apache Storm.
Các phiên bản bị ảnh hưởng: trước 2.8.6.
Mô tả: Khi xử lý các thông tin xác thực topology được gửi qua Nimbus Thrift API, Storm giải mã blob TGT đã mã hóa base64 bằng cách sử dụng ObjectInputStream.readObject() mà không có bất kỳ bộ lọc lớp (class filtering) hoặc kiểm tra tính hợp lệ nào. Một người dùng đã đăng nhập với quyền nộp topology có thể cung cấp một đối tượng được tuần tự hóa tùy chỉnh trong trường thông tin xác thực "TGT", dẫn đến việc thực thi mã từ xa trên cả JVM của Nimbus và Worker.
Biện pháp khắc phục: Người dùng 2.x nên nâng cấp lên phiên bản 2.8.6.
Những người không thể nâng cấp ngay lập tức nên vá chèn (monkey-patch) một danh sách cho phép ObjectInputFilter vào hàm ClientAuthUtils.deserializeKerberosTicket(), hạn chế các lớp được giải mã hóa chỉ bao gồm javax.security.auth.kerberos.KerberosTicket và các phụ thuộc đã biết của nó. Hướng dẫn về cách thực hiện điều này có sẵn trong ghi chú phát hành (release notes) của phiên bản 2.8.6.
Ghi nhận: Vấn đề này do K. phát hiện ra.
If you want to get best quality of vulnerability data, you may have to visit VulDB.