Към съдържанието
Търсене

CVE-2026-24281: Apache Software Foundation Apache ZooKeeper, слаба

7.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Hostname verification in Apache ZooKeeper ZKTrustManager falls back to reverse DNS (PTR) when IP SAN validation fails, allowing attackers who control or spoof PTR records to impersonate ZooKeeper servers or clients with a valid certificate for the PTR name. It's important to note that attacker must present a certificate which is trusted by ZKTrustManager which makes the attack vector harder to exploit. Users are recommended to upgrade to version 3.8.6 or 3.9.5, which fixes this issue by introducing a new configuration option to disable reverse DNS lookup in client and quorum protocols.

Засегнати продукти

  • Apache Software Foundation Apache ZooKeeper: 3.9.0 до 3.9.4; 3.8.0 до 3.8.5
  • Red Hat: още 16 продукта, добавени от Red Hat

    Red Hat AMQ Broker 7.12.7, Red Hat AMQ Broker 7.13.5, Red Hat AMQ Broker 7.14.0, Streams for Apache Kafka 2.9.4, Red Hat OpenShift AI 2.25, Red Hat build of Apache Camel for Spring Boot 4, Red Hat build of Debezium 2, Red Hat build of Debezium 3, Red Hat Data Grid 8, Red Hat Fuse 7, Red Hat JBoss Enterprise Application Platform 7, Red Hat JBoss Enterprise Application Platform 8, Red Hat JBoss Enterprise Application Platform Expansion Pack, Red Hat Offline Knowledge Portal, Red Hat OpenShift AI (RHOAI), streams for Apache Kafka 3

Вид слабост

История

  • 7 март 2026 Публикувано

Други уязвимости в Apache Software Foundation Apache ZooKeeper

Първоизточници

CVE-2026-24281: Apache Software Foundation Apache ZooKeeper, слаба | freedomonline.bg