Apache ZooKeeper 3.8.x < 3.8.7 / 3.9.x < 3.9.6 多个漏洞

high Nessus 插件 ID 347958

语言：

简介

远程 Apache ZooKeeper 服务器受到多种漏洞的影响。

描述

远程主机上监听的 Apache ZooKeeper 版本低于或3.9.x低于 3.8.x3.8.73.9.6。因此，该应用程序受到多个漏洞的影响：

- 由于缺少 ACL 检查，通过 SetWatches 重新连接重播泄露信息。攻击者可以通过在不存在的路径上注册存在监视，然后在使用受限制的 ACL 创建路径之后重新连接来发现 ACL 限制的路径。SetWatches/SetWatches2 重新连接重播处理程序通过空 ACL 调用 watcher.process（event），从而绕过 WatchManager.triggerWatch（）中的检查。仅暴露路径，不会暴露 znode 数据，但 znode 路径中会包含敏感信息，如用户名或登录 ID。（CVE-2026-59739）

- Apache ZooKeeper quorum TLS 无法在 FIPS 模式部署中强制执行对等主机名验证。当启用 sslQuorum=true、zookeeper.fips-mode=true、ssl.quorum.hostnameVerification=true 和 ssl.quorum.clientHostnameVerification=true 时，Java SSLSocket 仲裁路径会接受 SAN 与连接的主机不符的 CA 信任对等凭证。因此，恶意或错误发布的对等证书可以加入仲裁流量、参与领导者选举并进入复制流。（CVE-2026-59969）

- 处理 deleteContainer 操作码（0x14/20）时未验证调用方的 ACL 权限。可在 ZooKeeper 客户端端口上打开普通 TCP 会话并且无需认证和 ACL 权限的客户端可通过发出原始协议 deleteContainer opcode 删除任何空的持续 znode，包括常规持续节点、容器节点和 TTL 节点。deleteContainer 请求路径跳过常规删除路径强制执行的会话检查和 DELETE ACL 检查。（CVE-2026-79993）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。