Zaloguj się
Deutsch English Español Polski
Średnia

Apache ZooKeeper vulnerable to information disclosure in persistent watchers handling

  • Ujawniono: 15.03.2024
  • Aktualizacja: 11.10.2026 13:20

Information disclosure in persistent watchers handling in Apache ZooKeeper due to missing ACL check. It allows an attacker to monitor child znodes by attaching a persistent watcher (addWatch command) to a parent which the attacker has already access to. ZooKeeper server doesn't do ACL check when the persistent watcher is triggered and as a consequence, the full path of znodes that a watch event gets triggered upon is exposed to the owner of the watcher. It's important to note that only the path is exposed by this vulnerability, not the data of znode, but since znode path can contain sensitive information like user name or login ID, this issue is potentially critical.

Users are recommended to upgrade to version 3.9.2, 3.8.4 which fixes the issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.zookeeper:zookeeper >= 3.8.0, < 3.8.4, >= 3.9.0, < 3.9.2, >= 3.6.0, <= 3.7.2 3.8.4, 3.9.2

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Słabość (CWE)
CWE-200, CWE-862
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.zookeeper:zookeeper
Ujawniono
15.03.2024
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-r978-9m6m-6gm6 - CC BY 4.0

Historia podatności: org.apache.zookeeper:zookeeper

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (9) w archiwum
Wszystkich wpisów
9
Pierwsza → ostatnia
05.2019 03.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 5
  • Średnia 3

Ujawnienia w latach

Istotność:
  1. Apache ZooKeeper has improper handling of configuration values
    Wysoka CVE-2026-24308 >= 3.9.0, < 3.9.5, >= 3.8.0, < 3.8.6 3.9.5, 3.8.6
  2. Apache ZooKeeper: Reverse-DNS fallback enables hostname verification bypass in ZooKeeper ZKTrustManager
    Wysoka · 7.4 CVE-2026-24281 >= 3.8.0, < 3.8.6, >= 3.9.0, < 3.9.5 3.8.6, 3.9.5
  3. Apache ZooKeeper: Authentication bypass with IP-based authentication in Admin Server
    Wysoka CVE-2024-51504 >= 3.9.0, < 3.9.3 3.9.3
  4. Apache ZooKeeper vulnerable to information disclosure in persistent watchers handling ten wpis
    Średnia · 5.3 CVE-2024-23944 >= 3.8.0, < 3.8.4, >= 3.9.0, < 3.9.2, >= 3.6.0, <= 3.7.2 3.8.4, 3.9.2
  5. Authorization Bypass Through User-Controlled Key vulnerability in Apache ZooKeeper
    Krytyczna · 9.1 CVE-2023-44981 < 3.7.2, >= 3.8.0, < 3.8.3, >= 3.9.0, < 3.9.1 3.7.2, 3.8.3, 3.9.1
  6. Uncontrolled Resource Consumption in Apache ZooKeeper
    Wysoka · 7.5 CVE-2017-5637 >= 3.4.0, < 3.4.10, >= 3.5.0, < 3.5.3 3.4.10, 3.5.3
  7. Missing Authorization in Apache ZooKeeper
    Wysoka · 7.5 CVE-2018-8012 < 3.4.10, >= 3.5.0-alpha, < 3.5.4-beta 3.4.10, 3.5.4-beta

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.