Descoberta e Escopo das Vulnerabilidades
Dois vulnerabilidades de severidade "Importante" foram divulgadas no Apache ZooKeeper, um serviço amplamente utilizado para gerenciamento de configuração e nomeação em aplicações distribuídas. As falhas, identificadas como CVE-2026-24308 e CVE-2026-24281, afetam as versões 3.8.x e 3.9.x do software, exigindo atualizações imediatas para proteger a infraestrutura.
A primeira vulnerabilidade envolve o vazamento de informações sensíveis devido ao manuseio inadequado de valores de configuração no componente ZKConfig. Quando um cliente se conecta, dados de configuração são acidentalmente impressos no arquivo de log do cliente no nível de log INFO padrão, permitindo que atacantes com acesso aos logs roubem dados de produção sem disparar alarmes.
Impacto e Riscos Operacionais
A segunda vulnerabilidade, descoberta por Nikita Markevich, permite o bypass da verificação de hostname no componente ZKTrustManager. Se a validação do Nome de Assunto Alternativo (SAN) do IP falhar, o sistema recorre a uma consulta DNS reversa (PTR). Um atacante que controle ou falsifique registros PTR pode explorar esse comportamento para se passar por servidores ou clientes ZooKeeper válidos.
Embora o atacante ainda precise apresentar um certificado confiável, um ataque bem-sucedido mina completamente o modelo de confiança do sistema. Isso pode levar a ataques de intermediário (MITM) em ambientes de microsserviços e orquestração de containers que dependem do ZooKeeper para coordenação.
Recomendações e Mitigação
O Apache recomenda fortemente que os administradores atualizem suas instalações do ZooKeeper para as versões corrigidas: 3.8.6 e 3.9.5. Essas atualizações resolvem a falha de exposição de log e corrigem o bypass de hostname introduzindo uma nova opção de configuração que desativa consultas DNS reversas para protocolos de cliente e quorum.
Além de aplicar os patches, as equipes de segurança devem revisar ativamente seus ambientes de logging para garantir que dados sensíveis historicamente expostos em arquivos de log antigos e arquivados não permaneçam acessíveis. A revisão de logs é uma camada crítica de defesa em profundidade para mitigar o impacto de falhas de configuração passadas.