PT-2026-35414 · Apache · Apache Storm
K
+1
·
Publicado
2026-04-27
·
Atualizado
2026-04-28
·
CVE-2026-41081
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Apache Storm versões anteriores a 2.8.7
Descrição
Quando o transporte TLS está habilitado sem exigir a autenticação de certificado do cliente, o
TlsTransportPlugin atribui um principal de fallback (CN=ANONYMOUS) se nenhum certificado do cliente for apresentado ou se a verificação falhar. Isso ocorre porque a SSLPeerUnverifiedException é capturada e suprimida em vez de rejeitar a conexão. Esse comportamento de falha aberta permite que clientes não autenticados estabeleçam uma conexão TLS e recebam uma identidade de principal válida. Se o autorizador configurado, como o SimpleACLAuthorizer, não negar explicitamente o acesso ao CN=ANONYMOUS, isso pode resultar em acesso não autorizado aos serviços. Esta condição é registrada apenas no nível de depuração (debug), reduzindo a visibilidade em ambientes de produção.Recomendações
Atualizar para a versão 2.8.7.
Habilitar a autenticação obrigatória de certificado do cliente definindo
nimbus.thrift.tls.client.auth.required como true.
Garantir que as regras de autorização neguem explicitamente o acesso ao CN=ANONYMOUS.
Revisar todas as configurações de ACL para identificar comportamentos implícitos de permissão padrão (default-allow).Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Storm