Se han revelado dos vulnerabilidades de severidad Importante en Apache ZooKeeper, un servicio ampliamente utilizado para la gestión de configuraciones y nombres en aplicaciones distribuidas, lo que hace que las actualizaciones de seguridad oportunas sean críticas. Estas fallas recién descubiertas podrían permitir a los atacantes acceder a datos de configuración sensibles o eludir la verificación de nombres de host para suplantar servidores de confianza. 

Se han revelado dos vulnerabilidades de gravedad “Importante” en Apache ZooKeeper, un servicio ampliamente utilizado para la gestión de configuraciones y nombres en aplicaciones distribuidas, lo que hace que las actualizaciones de seguridad oportunas sean críticas.

Estas fallas recién descubiertas podrían permitir a los atacantes acceder a datos de configuración sensibles o eludir la verificación de nombres de host para suplantar servidores de confianza. Ambas vulnerabilidades afectan a las ramas de versiones 3.8.x y 3.9.x de ZooKeeper.

Vulnerabilidad en Apache ZooKeeper

La primera vulnerabilidad, identificada como CVE-2026-24308, implica la filtración de información sensible.

Descubierta por el investigador Youlong Chen, esta falla ocurre debido al manejo inadecuado de valores de configuración en el componente ZKConfig.

Cuando un cliente se conecta, los datos de configuración sensibles se imprimen accidentalmente en el archivo de registro del cliente con el nivel de registro INFO por defecto.

Esto significa que cualquier usuario no autorizado o atacante con acceso a los archivos de registro del sistema podría robar silenciosamente datos sensibles de producción sin activar alarmas.

El segundo problema, rastreado como CVE-2026-24281 (e internamente como ZOOKEEPER-4986), es un bypass de verificación de nombres de host descubierto por Nikita Markevich.

En el componente ZKTrustManager, si falla la validación del Nombre Alternativo del Sujeto (SAN) por IP, el sistema recurre automáticamente a una búsqueda DNS inversa (PTR).

Un atacante que controle o falsifique registros PTR puede explotar este comportamiento para suplantar servidores o clientes válidos de ZooKeeper.

Aunque el atacante aún debe presentar un certificado confiable para ZKTrustManager —lo que dificulta la explotación—, un ataque exitoso socava por completo el modelo de confianza del sistema.

Para proteger la infraestructura de estas amenazas, Apache recomienda encarecidamente a los administradores que actualicen inmediatamente sus instalaciones de ZooKeeper a las versiones parcheadas.

Las correcciones oficiales están disponibles en las versiones 3.8.6 y 3.9.5 de Apache ZooKeeper. Aplicar estas actualizaciones resuelve la falla de exposición en los registros, asegurando que ZKConfig ya no filtre valores sensibles en archivos locales.

Además, las actualizaciones solucionan el problema de bypass de nombres de host al introducir una nueva opción de configuración que desactiva las búsquedas DNS inversas tanto para el protocolo de cliente como para el de quórum.

Además de aplicar los parches, los equipos de seguridad deben revisar activamente sus entornos de registro para garantizar que no queden expuestos datos sensibles históricos en archivos de registro antiguos o archivados.