← volver
CVE-2026-24281

Apache ZooKeeper: Reverse-DNS fallback enables hostname verification bypass in ZooKeeper ZKTrustManager

CVSS 5.9 MEDIUMEPSS 0.3%CWE-295CWE-350
En resumen

La verificación de nombre de host en Apache ZooKeeper puede ser contornada por atacantes que controlen registros DNS inversos (PTR), permitiendo que se hagan pasar por servidores legítimos incluso con un certificado válido. Esto es importante porque debilita la seguridad de clusters ZooKeeper que dependen de autenticación basada en certificados.

Detalle técnico

CWE-295 (Validación Inadecuada de Certificado) y CWE-350 (Dependencia de Resolución DNS Inversa para Seguridad): El ZKTrustManager recurre a búsquedas DNS inversa cuando la validación de Subject Alternative Name (SAN) falla, permitiendo contorno de verificación de hostname. Atacantes con control de registros PTR pueden presentar un certificado válido para el nombre resuelto inversamente e impersonarse como nodos ZooKeeper; sin embargo, el certificado debe ser de confianza para ZKTrustManager, aumentando la complejidad del ataque.

Resumen generado y traducido por IA a partir de la descripción oficial.
Hostname verification in Apache ZooKeeper ZKTrustManager falls back to reverse DNS (PTR) when IP SAN validation fails, allowing attackers who control or spoof PTR records to impersonate ZooKeeper servers or clients with a valid certificate for the PTR name. It's important to note that attacker must present a certificate which is trusted by ZKTrustManager which makes the attack vector harder to exploit. Users are recommended to upgrade to version 3.8.6 or 3.9.5, which fixes this issue by introducing a new configuration option to disable reverse DNS lookup in client and quorum protocols.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Productos afectados
Apache Software Foundation · Apache ZooKeeper

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →
Referencias
https://lists.apache.org/thread/088ddsbrzhd5lxzbqf5n24yg0mwh9jt2http://www.openwall.com/lists/oss-security/2026/03/07/4