← voltar
CVE-2026-24281

Apache ZooKeeper: Reverse-DNS fallback enables hostname verification bypass in ZooKeeper ZKTrustManager

CVSS 5.9 MEDIUMEPSS 0.3%CWE-295CWE-350
Em resumo

A verificação de nome do host no Apache ZooKeeper pode ser contornada por atacantes que controlam registros DNS reversos (PTR), permitindo que se façam passar por servidores legítimos mesmo com um certificado válido. Isso importa porque enfraquece a segurança de clusters ZooKeeper que dependem de autenticação baseada em certificados.

Detalhe técnico

CWE-295 (Validação Inadequada de Certificado) e CWE-350 (Dependência de Resolução DNS Reversa para Segurança): O ZKTrustManager recorre à busca DNS reversa quando a validação de Subject Alternative Name (SAN) falha, permitindo contorno da verificação de hostname. Atacantes com controle de registros PTR podem apresentar um certificado válido para o nome resolvido inversamente e se impersonarem como nós ZooKeeper; porém, o certificado deve ser confiável pelo ZKTrustManager, aumentando a complexidade do ataque.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Hostname verification in Apache ZooKeeper ZKTrustManager falls back to reverse DNS (PTR) when IP SAN validation fails, allowing attackers who control or spoof PTR records to impersonate ZooKeeper servers or clients with a valid certificate for the PTR name. It's important to note that attacker must present a certificate which is trusted by ZKTrustManager which makes the attack vector harder to exploit. Users are recommended to upgrade to version 3.8.6 or 3.9.5, which fixes this issue by introducing a new configuration option to disable reverse DNS lookup in client and quorum protocols.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
Apache Software Foundation · Apache ZooKeeper

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →
Referências
https://lists.apache.org/thread/088ddsbrzhd5lxzbqf5n24yg0mwh9jt2http://www.openwall.com/lists/oss-security/2026/03/07/4