Cyber ·
CVE-2026-100300: DoS persistente e não autenticado no Apache ZooKeeper
Advisório de gravidade importante (CVSS 4.0 8.7) sobre dados e caminhos de quota não validados no Apache ZooKeeper, que podem causar negação de serviço persistente sem autenticação em implantações padrão.
O aviso CVE-2026-100300, publicado por Andor Molnar em 3 de novembro de 2026 e divulgado na lista oss-sec, descreve um problema de tratamento inadequado de condições excepcionais no subsistema de quotas do Apache ZooKeeper. Dados ou caminhos de quota não validados podem interromper a thread que aplica as transações, provocando negação de serviço persistente. Segundo o texto, um invasor capaz de gravar na subárvore /zookeeper/quota pode explorar a falha, e essa subárvore fica acessível sem autenticação em implantações padrão. A gravidade é classificada como importante, com CVSS 4.0 de 8.7 (alta), vetor de rede, complexidade baixa, sem privilégios e sem interação do usuário, com impacto alto apenas na disponibilidade. As versões afetadas informadas são do 3.9.0 até o 3.9.6 e do 3.8.0 até o 3.8.7. O conteúdo original é uma tradução automática, e o texto recebido termina de forma truncada na descrição; por isso, a versão completa deve ser consultada no próprio aviso. Para organizações que usam ZooKeeper em sua infraestrutura, a conduta prudente é identificar as versões em uso, avaliar a atualização para uma versão corrigida indicada pelo projeto e restringir a escrita na subárvore de quotas a identidades autorizadas, além de segmentar a rede onde o serviço roda. Este texto não indica que a Rota Nacional utilize ZooKeeper nem descreve qualquer recurso da plataforma relacionado à falha.