Apache ZooKeeper v3.8.x/v3.9.x 快照序列化递归漏洞致服务不可恢复
CVE-2026-115448: Apache ZooKeeper: Unbounded recursion in snapshot serialization allows a client to render the server unrecoverable
ZooKeeper 是分布式协调核心组件，此漏洞可直接导致服务不可恢复。请运维与架构师立即检查运行环境，确认是否处于受影响版本范围，并尽快升级或调整 ACL 策略以阻断攻击路径。
Posted by Andor Molnar on Nov 03
Andor Molnar 发布于 11月03日
Severity:
严重程度：
CVSS 4.0: 8.7 (high) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS 4.0：8.7（高） CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Affected versions:
受影响版本：
- Apache ZooKeeper 3.9.0 through 3.9.7
- Apache ZooKeeper 3.8.0 through 3.8.8
- Apache ZooKeeper 3.9.0 至 3.9.7
- Apache ZooKeeper 3.8.0 至 3.8.8
Description:
描述：
Uncontrolled recursion in Apache ZooKeeper. The server serializes its data tree to a snapshot by recursing one stack
Apache ZooKeeper 中存在不受控制的递归。服务器通过递归将数据树序列化为快照，每个 znode 层级对应一个堆栈帧
frame per znode level, with no depth bound. A client permitted to create znodes (the default root ACL is open) can...
且无深度限制。被允许创建 znode 的客户端（默认根 ACL 为开放状态）可以...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力