- Son 7 gün
- CWE-770
CVE-2026-100302
Apache ZooKeeper multiRead isteğinde sınırsız bellek ayırma nedeniyle hizmet reddi
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, kimlik doğrulaması yapılmış uzak bir saldırganın, dağıtık sistemlerin temelini oluşturan koordinasyon sunucusunu tek bir istekle çökertmesine olanak tanır. Bağlı uygulamalarda hizmet kesintisi ve iş sürekliliği riski doğurabilir. Etkilenen sunucular için güncelleme önceliği yüksek olmalıdır.
ÖzetTürkçe
Apache ZooKeeper'ın multiRead istek işleyicisinde, paket içindeki okuma işlemlerinin sayısına ve oluşturulan yanıtın toplam boyutuna sınır konulmamıştır. Küçük bir istek, büyük bir znode'a defalarca başvurarak sunucunun istekten çok daha fazla bellek ayırmasına neden olabilir. Data, etkilenen sürümleri 3.9.0-3.9.6 ve 3.8.0-3.8.7 olarak listelerken açıklama 3.7.0-3.9.6 aralığını belirtmektedir; bu nedenle 3.7.x sürümlerini de kontrol etmek güvenli olacaktır.
Saldırgan ne yapabilir?
Saldırgan, tek bir küçük istekle JVM yığın belleğini tüketerek OutOfMemoryError hatasına yol açabilir ve sunucunun çökmesini sağlayabilir. Bu, koordinasyon hizmetine bağlı sistemlerin kesintiye uğramasına neden olur.
Kaynaktaki açıklama (İngilizce)
Allocation of Resources Without Limits or Throttling in the multiRead request handler of Apache ZooKeeper allows a remote attacker to crash the server (denial of service) with a single small request.
The multiRead handler places no limit on the number of bundled read operations or on the cumulative size of the response it builds in memory. Because each operation's result is fully materialized and retained before serialization, a request that is small on the wire — within the jute.maxbuffer limit — but that references a large znode many times can force the server to allocate far more heap than the request size implies, exhausting the JVM heap and terminating the server with an OutOfMemoryError. Neither jute.maxbuffer nor largeRequestMaxBytes prevents this, as both bound only the inbound request, not the response.
This issue affects Apache ZooKeeper from 3.7.0 through 3.9.6. Users are recommended to upgrade to version 3.9.7, which enforces configurable limits on the multiRead operation count and cumulative response size.
Ne yapmalı?
- Apache ZooKeeper'ı 3.9.7 sürümüne yükseltin. Bu sürüm, multiRead işlemi için yapılandırılabilir işlem sayısı ve toplam yanıt boyutu sınırları getirmektedir. Genel öneri
- 3.8.x dalındaki sunucular için veri, düzeltilmiş bir sürüm belirtmemektedir. Bu dalda çalışıyorsanız satıcının güncel duyurularını kontrol edin ve mümkünse 3.9.7 sürümüne geçiş planlayın. Genel öneri
- Güncelleme yapılana kadar sunucuya erişimi yalnızca güvendiğiniz istemcilerle sınırlayın ve kimlik doğrulaması gerektiren erişimi zorunlu kılın. Genel öneri
- Güncelleme sonrasında sunucunun yeniden başlatıldığını ve sürüm bilgisinin beklenen sürüme ait olduğunu doğrulayın. Genel öneri
Ek önlemler
- Sunucunun JVM yığın kullanımını ve OutOfMemoryError kayıtlarını izleyerek olağandışı bellek artışlarını takip edin. Genel öneri
- Yapılandırma dosyalarında jute.maxbuffer ve benzeri sınırları gözden geçirin; ancak bu ayarların tek başına bu açığı kapatmadığını unutmayın. Genel öneri
- Koordinasyon sunucusunu, yalnızca gerekli istemcilerin erişebileceği ağ segmentlerinde tutun. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache ZooKeeper | ≥ 3.9.0, ≤ 3.9.6 | – |
| ≥ 3.8.0, ≤ 3.8.7 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.