Apache ZooKeeper 3.8-3.9 ACL撤销后存在TOCTOU竞态漏洞

CVE-2026-100235: Apache ZooKeeper: ACL enforcement bypass allows unauthorized operations to commit after an ACL revocation

推荐理由

ZooKeeper 用户需关注此 ACL 竞态漏洞，建议评估是否受影响并规划升级至修复版本以消除未授权操作风险。

Posted by Andor Molnar on Nov 03

Andor Molnar 发布于 11月03日

Severity: moderate

严重程度：中等

CVSS 4.0: 6.0 (medium) CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Affected versions:

受影响版本：

Description:

描述：

Incorrect authorization due to a time-of-check to time-of-use (TOCTOU) race condition in the setACL request handling of

在 setACL 请求处理中存在检查到使用（TOCTOU）竞态条件，导致授权不正确。

Apache ZooKeeper.

Apache ZooKeeper。

When a node's ACL is changed via setACL, the pending change is not published to...

当通过 setACL 更改节点的 ACL 时，待处理的更改未发布给...

看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力