Apache ZooKeeper 여러 취약점: 권한 우회 및 서비스 중단

요약

Apache ZooKeeper 서버의 여러 취약점으로 권한이 취소된 뒤에도 작업이 되거나, 인증 ID가 위조되거나, 서버가 멈출 수 있습니다. 3.9.6 이하 등 영향받는 버전을 쓰는 서버가 해당합니다.

해당 조건

• OPEN_ACL_UNSAFE에서 제한 ACL로 전환 중인 배포
• 클라이언트 포트에서 SASL 인증 사용
• 기본 설정의 /zookeeper/quota 하위 트리(누구나 쓰기 가능)
• 기본 루트 ACL로 znode 생성 허용

대처법

ZooKeeper 3.8.8 또는 3.9.7로 업데이트하세요. 그때까지는 ACL과 인증으로 znode 생성을 제한하세요.

대상 제품과 운영체제

• Apache ZooKeeper

CVE 번호

• CVE-2026-100235 (새 탭에서 열림)
• CVE-2026-100252 (새 탭에서 열림)
• CVE-2026-100300 (새 탭에서 열림)
• CVE-2026-115448 (새 탭에서 열림)
• CVE-2026-100302 (새 탭에서 열림)

원문 링크

• 보안 공지: lists.apache.org (새 탭에서 열림) · lists.apache.org (새 탭에서 열림) · lists.apache.org (새 탭에서 열림) · lists.apache.org (새 탭에서 열림) · lists.apache.org (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림) · cve.org (새 탭에서 열림) · cve.org (새 탭에서 열림) · cve.org (새 탭에서 열림) · cve.org (새 탭에서 열림)

시각

처음 게시 2026-11-04 19:43

처음 확인 2026-11-10 00:20