Apache ZooKeeper 3.8.x/3.9.x 未授权 DoS 漏洞修复
CVE-2026-100300: Apache ZooKeeper: Unauthenticated persistent denial of service via unvalidated quota-node data and paths crashing the transaction-apply thread
ZooKeeper 是分布式协调的核心基础设施，此漏洞允许未认证攻击者通过特定路径触发线程崩溃导致服务不可用。请检查你的集群版本是否在 3.8.x 或 3.9.x 范围内，并立即规划升级或应用补丁。
Posted by Andor Molnar on Nov 03
由 Andor Molnar 发布于 11月03日
Severity: important
严重程度：重要
CVSS 4.0: 8.7 (high) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS 4.0: 8.7 (高) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Affected versions:
受影响版本：
- Apache ZooKeeper 3.9.0 through 3.9.6
- Apache ZooKeeper 3.8.0 through 3.8.7
- Apache ZooKeeper 3.9.0 至 3.9.6
- Apache ZooKeeper 3.8.0 至 3.8.7
Description:
描述：
Improper handling of exceptional conditions in the quota subsystem of Apache ZooKeeper allows an attacker able to write
Apache ZooKeeper 配额子系统对异常情况的处理不当，允许能够写入
under the /zookeeper/quota subtree — unauthenticated on default deployments, where that subtree is...
/zookeeper/quota 子树下的攻击者——在默认部署中未认证，其中该子树是...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力