CVE-2026-84439

Beschreibung

Wenn die Auditprotokollierung aktiviert ist (zookeeper.audit.enable=true), kann ein nicht authentifizierter Angreifer beliebige Felder in das Auditprotokoll von Apache ZooKeeper einfügen, indem er eine Digest-Authentifizierungsanforderung mit im Benutzernamen eingebetteten Registerzeichen (\t) sendet. Da das Auditprotokoll das Format tab-separated key=value verwendet, werden die injizierten Registerkarten als legitime Feldtrenner analysiert, so dass der Angreifer die Auditergebnisse (z. B. Injecting result=success) verfälscht, Operationstypen gefälscht und forensische Beweise beschädigt. Eine Protokollinjektionslücke in Apache ZooKeeper ermöglicht es einem Client, der setACL aufrufen kann, geschmiedete Schlüsselwertfelder in zookeeper audit.log zu injizieren. Wenn die Audit-Protokollierung aktiviert ist, serialisiert der Server angreifergesteuerte Digest-ACL-IDs in das acl= Audit-Feld, ohne Tab-Zeichen zu entkommen. Da Audit-Ereignisse als tab-separierte key=value-Datensätze ausgegeben werden, kann eine erstellte ACL-ID dazu führen, dass ein erfolgreiches setAcl-Ereignis gefälschte Felder wie operation=delete und znode=/forged enthält. Dies untergräbt die Integrität von Downstream-Audit-Parsing, Alarmierung und Incident Response. Dieses Problem betrifft Apache ZooKeeper: von 3.9.0 bis 3.9.5, von 3.8.0 bis 3.8.6. Benutzern wird empfohlen, auf Version 3.9.6 oder 3.8.7 zu aktualisieren, wodurch das Problem behoben wird.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation zookeeper.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.