Vulnerabilidad en Apache ZooKeeper (CVE-2024-23944)

Divulgación de información en el manejo de observadores persistentes en Apache ZooKeeper debido a la falta de verificación de ACL. Permite a un atacante monitorear znodes secundarios adjuntando un observador persistente (comando addWatch) a un padre al que el atacante ya tiene acceso. El servidor ZooKeeper no realiza una verificación de ACL cuando se activa el observador persistente y, como consecuencia, la ruta completa de los znodes sobre los que se activa un evento de vigilancia queda expuesta al propietario del observador. Es importante tener en cuenta que esta vulnerabilidad solo expone la ruta, no los datos de znode, pero dado que la ruta de znode puede contener información confidencial como el nombre de usuario o el ID de inicio de sesión, este problema es potencialmente crítico. Se recomienda a los usuarios actualizar a la versión 3.9.2, 3.8.4, que soluciona el problema.