远程主机上运行的 Apache ZooKeeper 版本为 3.9.3 之前的版本 3.9.x。因此，它会受到身份验证绕过漏洞的影响：

  - 在 ZooKeeper Admin Server 中使用 IPAuthenticationProvider 时，欺骗可能会造成身份验证绕过 -- 这仅会影响在 ZooKeeper Admin Server 中实现的基于 IP 的身份验证。IPAuthenticationProvider 中客户端 IP 地址检测的默认配置（使用 HTTP 请求标头）安全漏洞，可允许攻击者通过伪造请求标头中的客户端 IP 地址绕过认证。默认配置遵从 X- Forwarded-For HTTP 标头读取客户端的 IP 地址。X-Forwarded-For 请求标头主要由代理服务器用于识别客户端，并且可以轻松被攻击者伪装为请求来自其他 IP 地址。成功利用此漏洞时可执行任意 snapshot 和 restore arbitrily 等 Admin Server 命令，这可能导致信息泄漏或服务可用性问题。建议用户升级至可修复此问题的版本 3.9.3。(CVE-2024-51504) 请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号判断。

检测

Apache ZooKeeper 3.9.x < 3.9.3 身份验证绕过漏洞

critical Nessus 插件 ID 210584

版本 1.3