CVE-2026-35337 in Storm Client
摘要
由 VulDB • 2026-05-08
Apache Storm 中存在不信任数据反序列化漏洞。
受影响版本： 2.8.6 之前版本。
描述： 在处理通过 Nimbus Thrift API 提交的网络拓扑凭据时，Storm 使用 ObjectInputStream.readObject() 对 base64 编码的 TGT 块进行反序列化，且未进行任何类过滤或验证。拥有拓扑提交权限的已认证用户可以在“TGT”凭据字段中提供精心构造的序列化对象，从而导致 Nimbus 和 Worker JVM 中的远程代码执行。
缓解措施： 2.x 用户应升级至 2.8.6。
无法立即升级的用户应对 ClientAuthUtils.deserializeKerberosTicket() 应用猴子补丁（monkey-patch），设置 ObjectInputFilter 允许列表，将反序列化的类限制为 javax.security.auth.kerberos.KerberosTicket 及其已知依赖项。有关如何执行此操作的指南，请参阅 2.8.6 版本说明。
致谢：此问题由 K 发现。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.