Cyber ·
CVE-2026-115448: recursão sem limite no ZooKeeper pode deixar o servidor irrecuperável
Alerta público sobre o Apache ZooKeeper: um cliente com permissão para criar znodes pode tornar o servidor irrecuperável por recursão excessiva na serialização de snapshots. Gravidade CVSS 4.0 de 8.7 (alta).
Segundo o aviso publicado por Andor Molnar em 3 de novembro de 2026 e repassado pelo feed da lista oss-sec, a falha CVE-2026-115448 afeta o Apache ZooKeeper nas versões 3.9.0 até 3.9.7 e 3.8.0 até 3.8.8. O problema está na serialização de snapshots: o servidor percorre a árvore de dados de forma recursiva, usando um quadro de pilha por nível de znode, sem limite de profundidade. Um cliente com permissão para criar znodes, o que ocorre por padrão porque a ACL da raiz é aberta, pode provocar recursão excessiva e tornar o servidor irrecuperável. A pontuação CVSS 4.0 é 8.7 (alta), com vetor de rede, complexidade baixa, sem privilégios exigidos segundo a métrica, sem interação do usuário e impacto alto apenas na disponibilidade. Este texto é uma tradução automática de um repasse, então confira o aviso original na lista oss-sec e as notas de correção do projeto Apache antes de agir. Para quem opera o ZooKeeper, a ação prática é verificar a versão instalada, aplicar a versão corrigida indicada pelo projeto e restringir quem pode criar znodes.