Cyber ·
CVE-2026-100302: falta de limites no multiRead do Apache ZooKeeper permite negação de serviço remota
Falha de gravidade importante (CVSS 4.0: 7.1) no manipulador multiRead do Apache ZooKeeper permite derrubar o servidor remotamente com uma única solicitação pequena. Versões 3.9.0 a 3.9.6 e 3.8.0 a 3.8.7 são citadas como afetadas.
Segundo o alerta divulgado no feed oss-sec em 3 de novembro de 2026, o manipulador de solicitações multiRead do Apache ZooKeeper não impõe limites à alocação de recursos. Um invasor remoto, com privilégio baixo e sem interação do usuário, pode enviar uma solicitação pequena que esgota a memória e derruba o servidor, caracterizando negação de serviço. O vetor CVSS 4.0 informado é CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N, com impacto apenas na disponibilidade. As versões afetadas são Apache ZooKeeper 3.9.0 até 3.9.6 e 3.8.0 até 3.8.7.
O conteúdo original é uma tradução automática de um aviso publicado na lista de segurança, e a descrição completa do alerta está na fonte original. Para verificar, consulte o aviso oficial do projeto Apache ZooKeeper e a lista oss-sec, confirme a versão instalada e leia a recomendação de correção indicada pelos mantenedores antes de agir.