Cyber ·
CVE-2026-100235: contorno de ACL no Apache ZooKeeper após revogação
Aviso de 3 de novembro de 2026: condição de corrida TOCTOU no tratamento de setACL do Apache ZooKeeper pode confirmar alterações pendentes após a revogação de uma ACL. Gravidade moderada, CVSS 4.0 de 6.0.
O aviso CVE-2026-100235 foi publicado por Andor Molnar no feed oss-sec em 3 de novembro de 2026. O texto recebido é uma tradução automática e indica gravidade moderada, com CVSS 4.0 de 6.0 (média) e vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N. As versões afetadas informadas são Apache ZooKeeper 3.9.0 até 3.9.6 e 3.8.0 até 3.8.7. A descrição fala em autorização incorreta causada por uma condição de corrida entre verificação e uso (TOCTOU) no tratamento de solicitações setACL: quando a ACL de um nó é alterada por meio de setACL, a mudança pendente não é publicada para, e o texto recebido é interrompido nesse ponto.
A relevância está em ambientes que executam essas versões do ZooKeeper, onde uma revogação de permissão pode não ser aplicada de imediato. A Rota Nacional não hospeda nem corrige o ZooKeeper e não oferece nenhum recurso para esta falha. Para verificar o impacto, leia o aviso original, que contém a descrição completa, as versões corrigidas e as eventuais mitigações, já que o texto recebido está truncado.