Zaloguj się
Deutsch English Español Polski
Wysoka

Apache ZooKeeper: Reverse-DNS fallback enables hostname verification bypass in ZooKeeper ZKTrustManager

  • Ujawniono: 07.03.2026
  • Aktualizacja: 11.10.2026 13:20

Hostname verification in Apache ZooKeeper ZKTrustManager falls back to reverse DNS (PTR) when IP SAN validation fails, allowing attackers who control or spoof PTR records to impersonate ZooKeeper servers or clients with a valid certificate for the PTR name. It's important to note that attacker must present a certificate which is trusted by ZKTrustManager which makes the attack vector harder to exploit. Users are recommended to upgrade to version 3.8.6 or 3.9.5, which fixes this issue by introducing a new configuration option to disable reverse DNS lookup in client and quorum protocols.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.zookeeper:zookeeper >= 3.8.0, < 3.8.6, >= 3.9.0, < 3.9.5 3.8.6, 3.9.5

Odnośniki

Ocena CVSS 7.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Słabość (CWE)
CWE-295, CWE-297
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.zookeeper:zookeeper
Ujawniono
07.03.2026
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7xrh-hqfc-g7qr - CC BY 4.0

Historia podatności: org.apache.zookeeper:zookeeper

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (9) w archiwum
Wszystkich wpisów
9
Pierwsza → ostatnia
05.2019 03.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 5
  • Średnia 3

Ujawnienia w latach

Istotność:
  1. Apache ZooKeeper has improper handling of configuration values
    Wysoka CVE-2026-24308 >= 3.9.0, < 3.9.5, >= 3.8.0, < 3.8.6 3.9.5, 3.8.6
  2. Apache ZooKeeper: Reverse-DNS fallback enables hostname verification bypass in ZooKeeper ZKTrustManager ten wpis
    Wysoka · 7.4 CVE-2026-24281 >= 3.8.0, < 3.8.6, >= 3.9.0, < 3.9.5 3.8.6, 3.9.5
  3. Apache ZooKeeper: Authentication bypass with IP-based authentication in Admin Server
    Wysoka CVE-2024-51504 >= 3.9.0, < 3.9.3 3.9.3
  4. Authorization Bypass Through User-Controlled Key vulnerability in Apache ZooKeeper
    Krytyczna · 9.1 CVE-2023-44981 < 3.7.2, >= 3.8.0, < 3.8.3, >= 3.9.0, < 3.9.1 3.7.2, 3.8.3, 3.9.1
  5. Uncontrolled Resource Consumption in Apache ZooKeeper
    Wysoka · 7.5 CVE-2017-5637 >= 3.4.0, < 3.4.10, >= 3.5.0, < 3.5.3 3.4.10, 3.5.3
  6. Missing Authorization in Apache ZooKeeper
    Wysoka · 7.5 CVE-2018-8012 < 3.4.10, >= 3.5.0-alpha, < 3.5.4-beta 3.4.10, 3.5.4-beta

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.