Two four letter word commands "wchp/wchc" are CPU intensive and could cause spike of CPU utilization on Apache ZooKeeper server if abused, w

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• apache zookeeper3.4.0
• apache zookeeper3.4.1
• apache zookeeper3.4.2
• apache zookeeper3.4.3
• apache zookeeper3.4.4
• apache zookeeper3.4.5
• apache zookeeper3.4.6
• apache zookeeper3.4.7
• apache zookeeper3.4.8
• apache zookeeper3.4.9
• apache zookeeper3.5.0
• apache zookeeper3.5.1
• apache zookeeper3.5.2
• debian debian linux8.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (apache). Не зависят от анализа CPE в NVD и обычно опережают его.

• Apache Software Foundation Apache ZooKeeper

  • 3.4.0 to 3.4.9, 3.5.0 to 3.5.2затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2023-44981Apache ZooKeeper: Authorization bypass in SASL Quorum Peer Authentication
  37Наблюдать
• CVE-2024-51504Apache ZooKeeper: Authentication bypass with IP-based authentication in Admin Server
  36Наблюдать
• CVE-2016-5017Buffer overflow in the C cli shell in Apache Zookeeper before 3.4.9 and 3.5.x before 3.5.3, when using the "cmd:" batch mode syntax, allows
  34Наблюдать
• CVE-2018-8012No authentication/authorization is enforced when a server attempts to join a quorum in Apache ZooKeeper before 3.4.10, and 3.5.0-alpha throu
  33Наблюдать
• CVE-2026-79993Apache ZooKeeper: Missing ACL check on deleteContainer opcode allows unauthorized deletion of any empty persistent/container znode
  30Наблюдать
• CVE-2026-59969Apache ZooKeeper: Improper validation of certificate with host mismatch in FIPS mode
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Функция, добавленная для разработки или поддержки, попадает в продуктивную среду без аутентификации. Нередко расчёт делается на то, что она «доступна только из внутренней сети».

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1// Добавлено для службы поддержки2app.post("/maintenance/reset", resetDevice);

1if (config.maintenanceEnabled) {2  app.post(3    "/maintenance/reset",4    requireSession, requireRole("admin"), resetDevice5  );6}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.