CVE-2026-82439— Apache Storm DRPC 未授权内存增长漏洞
一分钟漏洞结论
影响对象
Apache Software Foundation Apache Storm DRPC
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
描述 DRPC 服务器维护了一个从函数名到请求队列的映射表，并在首次遇到某个函数名时创建对应条目。没有任何代码路径会移除这些条目：请求清理仅从队列中移除请求，而关闭流程会清空队列，但队列对象及其在映射表中的条目会一直保留到进程结束。 函数名来自客户端，且不限于任何拓扑中已注册的函数，因此保留的条目数量仅受攻击者选择发送的不同名称数量限制，且每个保留条目都会持有该名称本身。 默认未设置，因此访问该端点无需身份验证。 由于保留的状态是永久性的，而非瞬时的负载峰值，其影响会持续累积，直至 DRPC 服务器耗尽堆内存。 缓
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-82439 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Apache Storm DRPC: Unauthenticated Unbounded Memory Growth in DRPC
来源: CVE Program / CVE List V5
Vulnerability Description
Description
The DRPC server kept a map from function name to request queue and created an entry the first time a
function name was seen. No code path ever removed an entry: request cleanup removed the request from its
queue, and the shutdown path drained queues, but the queue object and its map entry remained for the life of
the process.
Function names come from the client and are not constrained to functions any topology has registered, so the
number of retained entries is bounded only by the number of distinct names an attacker chooses to send, and
each retained entry holds the name itself. `drpc.authorizer` is unset by default, so no credentials are
required to reach the endpoint.
The retained state is permanent rather than a transient load spike, so the effect accumulates until the DRPC
server exhausts its heap.
Mitigation
Upgrade to 3.1.0, where a function's queue is removed once nothing is waiting in it.
Users who cannot upgrade immediately should configure `drpc.authorizer` so that only trusted principals can
reach the DRPC endpoints, and should ensure the DRPC ports are not reachable from untrusted networks.
Credit
The ASF -- found using Claude agents to study the security of open-source projects, validated and reported by Apache Storm.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
不加限制或调节的资源分配
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Apache Software Foundation | Apache Storm DRPC | 3.0.0 ~ 3.1.0 | - |
|
二、漏洞 CVE-2026-82439 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-82439 的情报信息
请登录查看更多情报信息。
CVE-2026-82439 其他参考 (1)
-
https://lists.apache.org/thread/7sgzvv5lzz93jn6vy74qfk105bhmkrzs vendor-advisory
同批安全公告 · Apache Software Foundation · 2026-09-14 · 共 39 条
| CVE-2026-82434 | 10.0 CRITICAL | Apache Storm 向只读用户及日志泄露ZK凭证 |
| CVE-2026-78330 | Apache Syncope 管理员JWT权限提升漏洞 | |
| CVE-2026-73579 | Apache Syncope 非递归Any搜索绕过Realm限制 | |
| CVE-2026-75015 | Apache Syncope 嵌套密钥泄露明文的审计记录 | |
| CVE-2026-75030 | Apache Syncope 组成员权限检查不完整漏洞 | |
| CVE-2026-77051 | Apache Syncope SQL注入漏洞 | |
| CVE-2026-73668 | Apache Syncope 机密ConnId配置跨域泄露 | |
| CVE-2026-77147 | Apache Syncope Groovy沙箱逃逸漏洞 | |
| CVE-2026-77181 | Apache Syncope 客户端应用更新权限失效 | |
| CVE-2026-77883 | Apache Syncope JEXL导航致信息泄露 | |
| CVE-2026-78318 | Apache Syncope 控制台反射型XSS漏洞 | |
| CVE-2026-73470 | Apache Syncope 非所有者角色授权越权漏洞 | |
| CVE-2026-78336 | Apache Syncope OIDC提供者列表信息泄露漏洞 | |
| CVE-2026-82232 | Apache Syncope 任务搜索SQL注入 | |
| CVE-2026-86460 | Apache Syncope FIQL查询Cypher注入漏洞 | |
| CVE-2026-87779 | Apache Syncope AES密钥泄露 | |
| CVE-2026-87785 | Apache Syncope JWT主体欺骗漏洞 | |
| CVE-2026-87802 | Apache Syncope 远程代码执行漏洞 | |
| CVE-2026-68570 | Apache Doris 授权绕过导致未授权数据访问漏洞 | |
| CVE-2026-72524 | Apache Doris 授权绕过导致任意表读写删 |
显示前 20 条，共 39 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-82439
暂无评论