Cyber ·
CVE-2026-100252: contorno de autorização SASL no Apache ZooKeeper (CVSS 8.6)
Falha no Apache ZooKeeper permite que um cliente, com SASL ativo na porta de cliente, obtenha qualquer identidade de autorização solicitada, contornando a autorização. As versões 3.9.0 a 3.9.6 e 3.8.0 a 3.8.7 são afetadas.
Segundo o aviso divulgado na lista oss-sec em 3 de novembro de 2026 por Andor Molnar, o CVE-2026-100252 afeta o Apache ZooKeeper quando a autenticação SASL está habilitada na porta de cliente. Nesse cenário, o manipulador de callback SASL do servidor concede todas as identidades de autorização (authzid) que o cliente solicitar, o que permite contornar a autorização. A gravidade é classificada como importante, com pontuação CVSS 4.0 de 8.6 (alta), vetor de rede, complexidade baixa, sem interação do usuário, privilégio baixo e impacto alto de confidencialidade e integridade. As versões afetadas são do 3.9.0 até o 3.9.6 e do 3.8.0 até o 3.8.7. O texto disponível é uma tradução automática e foi truncado, por isso a descrição completa deve ser conferida na fonte. Para verificar, consulte o aviso original na lista oss-sec e as notas de correção publicadas pelo projeto Apache ZooKeeper, e confirme a versão instalada em cada servidor.