Apache ZooKeeper persistent watchers 敏感信息泄露漏洞

漏洞描述

Apache ZooKeeper是一个开源的分布式协调服务，persistent watchers 是对节点的监控机制。

受影响版本中，由于 addWatch 命令缺少 ACL 检查，未经身份验证的攻击者可利用通过 addWatch 命令将 persistent watchers 添加到攻击者已经访问的父节点来监视子 znodes，进而获取 znode 的路径信息（可能包含用户名或登录ID等敏感信息）。

漏洞名称	Apache ZooKeeper persistent watchers敏感信息泄露漏洞
漏洞类型	未授权敏感信息泄露
发现时间	2024-03-15
漏洞影响广度	一般
MPS编号	MPS-kfgl-etid
CVE编号	CVE-2024-23944
CNVD编号	-

影响范围

org.apache.zookeeper:zookeeper@[3.9.0, 3.9.2)

org.apache.zookeeper:zookeeper@[3.6.0, 3.8.4)

org.apache.zookeeper:zookeeper-it@[3.9.0, 3.9.2)

org.apache.zookeeper:zookeeper-it@[3.6.0, 3.8.4)

修复方案

将 org.apache.zookeeper:zookeeper 升级至 3.9.2 及以上版本

将 org.apache.zookeeper:zookeeper 升级至 3.8.4 及以上版本

将 org.apache.zookeeper:zookeeper-it 升级至 3.9.2 及以上版本

将 org.apache.zookeeper:zookeeper-it 升级至 3.8.4 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-kfgl-etid

https://nvd.nist.gov/vuln/detail/CVE-2024-23944

https://issues.apache.org/jira/browse/ZOOKEEPER-4799

https://github.com/apache/zookeeper/commit/65b91d2d9a56157285c2a86b106e67c26520b01d

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc