ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
ثغرة تفويض غير سليم في Apache ZooKeeper. عند تمكين مصادقة SASL على منفذ العميل، يمنح معالج رد الاتصال الخاص بـ SASL على الخادم كل هوية تفويض (authzid) يطلبها العميل، دون التحقق منها مقابل الهوية الرئيسية (principal) التي قام العميل بالمصادقة كها. يحاول الخادم بعد ذلك استبدال الهوية المطلوبة بشكل قانوني للهوية الرئيسية المصادق عليها، المستمدة من قواعد zookeeper.security.auth_to_local. إذا لم يتم تطبيق أي قاعدة على الهوية الرئيسية، تفشل التسوية ويتم تسجيل الخطأ فقط. تصبح هوية authzid التي طلبها العميل بعد ذلك هي هوية SASL للجلسة لجميع عمليات التحقق من قوائم التحكم بالوصول ACLs. يمكن للعميل المصادق عليه والذي لا تغطي هويته قواعد auth_to_local بالتالي المطالبة بأي هوية SASL. مع القواعد الافتراضية، يشمل ذلك أي هوية رئيسية لـ Kerberos من مجال آخر غير المجال الافتراضي للخادم، مثل هوية رئيسية من مجال موثوق به عبر المجالات. يحصل العميل بعد ذلك على الأرشادات الممنوحة لتلك الهوية في قوائم التحكم بالوصول sasl ACLs. إذا كانت الهوية المطلوبة تتطابق مع zookeeper.superUser مُكوّن، فإنه يحصل على وصول المستخدم الخارق لشجرة البيانات بأكملها. يوصى المستخدمون بالتحديث إلى الإصدار 3.8.8 أو 3.9.7، اللذين يعالجبان المشكلة.