- Son 7 gün
- CWE-755
CVE-2026-100300
Apache ZooKeeper: Kuota düğümü verisi ve yollarının doğrulanmamasından kaynaklanan kalıcı hizmet reddi
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, kimlik doğrulaması gerektirmeden koordinasyon sunucusunu tamamen devre dışı bırakabilir ve veri dizinini onarılamaz biçimde bozabilir. Bu tür bir kesinti, bu sunucuya bağlı tüm uygulamaların çalışmasını durdurabilir. Etkilenen sürümleri kullanan kuruluşların bu güncellemeyi öncelikli olarak uygulaması önerilir.
ÖzetTürkçe
Apache ZooKeeper'ın kota alt sistemindeki istisnai durumların uygun şekilde ele alınmaması, /zookeeper/quota alt ağacına yazabilen bir saldırganın sunucunun işlem uygulama iş parçacığını çökertmesine olanak tanır. Varsayılan kurulumlarda bu alt ağaç herkese yazılabilir olduğundan kimlik doğrulama gerekmez. Etkilenen sürümler 3.9.0 ile 3.9.6 arası ve 3.8.0 ile 3.8.7 arasıdır.
Saldırgan ne yapabilir?
Saldırgan sunucunun kritik istek işleme iş parçacığını çökerterek hizmeti durdurabilir. Saldırı, disk üzerindeki veri dizinini kalıcı olarak açılamaz hale getirerek sunucunun yeniden başlatılmasını da engelleyebilir.
Kaynaktaki açıklama (İngilizce)
Improper handling of exceptional conditions in the quota subsystem of Apache ZooKeeper allows an attacker able to write under the /zookeeper/quota subtree — unauthenticated on default deployments, where that subtree is world-writable — to crash the server's critical request-processing thread and render the on-disk data directory permanently unbootable.
This issue affects Apache ZooKeeper up to and including 3.9.6. Users are recommended to upgrade to version 3.8.8 or 3.9.7, which fixes the issue.
Ne yapmalı?
- Apache ZooKeeper'ı 3.8.8 veya 3.9.7 sürümüne yükseltin; bu sürümler sorunu giderir. Genel öneri
- Yükseltme yapılana kadar /zookeeper/quota alt ağacının yazma erişimini yalnızca güvenilir yöneticilerle sınırlandırın ve bu alt ağaca yazılabilen istemcileri gözden geçirin. Genel öneri
- Yükseltmeden önce veri dizininin yedeğini alarak olası bir kurtarma senaryosuna hazırlıklı olun. Genel öneri
Ek önlemler
- ZooKeeper sunucularını internete veya güvenilmeyen ağlara açmayın ve erişimi ağ segmentasyonuyla kısıtlayın. Genel öneri
- Kota düğümlerinde beklenmedik oluşturma, değiştirme veya silme işlemlerini izleyin ve sunucu çökmelerini log kayıtlarından takip edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache ZooKeeper | ≥ 3.9.0, ≤ 3.9.6 | – |
| ≥ 3.8.0, ≤ 3.8.7 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.