Kurzfassung

Apache Storm behebt mit Version 3.1.0 die Schwachstelle CVE-2026-82439 im DRPC-Server. Das Problem ist mit CVSS 9.8 als kritisch eingestuft und erlaubt Angriffe über das Netzwerk ohne Anmeldung und ohne Nutzerinteraktion. Im Kern kann ein Angreifer den Speicher des Prozesses dauerhaft mit immer neuen Funktionsnamen füllen, bis der Dienst ausfällt.

Was ist passiert?

Betroffen ist die DRPC-Komponente von Apache Storm. Der Server legte für jeden erstmals gesehenen Funktionsnamen eine eigene Warteschlange an und behielt den zugehörigen Eintrag während der gesamten Prozesslaufzeit im Speicher. Diese Einträge wurden auch dann nicht entfernt, wenn die eigentlichen Anfragen längst abgearbeitet waren.

Das wird zum Problem, weil die Funktionsnamen direkt vom Client kommen und nicht auf tatsächlich registrierte Funktionen begrenzt sind. Ein Angreifer kann also massenhaft unterschiedliche Namen an den Endpunkt senden. Jeder neue Name erzeugt weiteren dauerhaft gehaltenen Zustand im Speicher.

Die Folge ist keine kurze Lastspitze, sondern ein kumulativer Effekt. Mit genug unterschiedlichen Anfragen wächst der Speicherverbrauch weiter an, bis der Heap erschöpft ist und der DRPC-Dienst nicht mehr zuverlässig arbeitet oder abstürzt.

Technische Details

CVE-2026-82439 hat einen CVSS-Basiswert von 9.8 (kritisch) mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Das bedeutet: Angriffe sind über das Netzwerk möglich, die Hürden sind niedrig, es werden keine Berechtigungen benötigt und kein Benutzer muss etwas anklicken oder bestätigen. Der Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch die tatsächliche Ausnutzung in Ihrer Umgebung.

Technisch handelt es sich um eine Speichererschöpfung durch dauerhaft zurückbehaltene Zustände. Der DRPC-Server verwaltete eine Zuordnung von Funktionsnamen zu Request-Queues. Wurde ein neuer Name gesehen, entstand ein neuer Eintrag. Weder die reguläre Bereinigung einzelner Requests noch das Leeren der Queues beim Herunterfahren entfernten das Queue-Objekt selbst aus dieser Zuordnung.

Brisant ist die Standardkonfiguration: Ist drpc.authorizer nicht gesetzt, verlangt der Endpunkt standardmäßig keine Zugangsdaten. Wer den DRPC-Port erreichen kann, kann also auch beliebige Funktionsnamen einspeisen. Apache Storm nennt als Behebung Version 3.1.0; dort wird eine Funktions-Queue entfernt, sobald niemand mehr darauf wartet.

Wer ist betroffen?

Betroffen sind Apache-Storm-Installationen, in denen der DRPC-Server genutzt und aus erreichbaren Netzen angesprochen werden kann. Besonders kritisch ist die Lage, wenn der DRPC-Endpunkt direkt oder indirekt aus untrusted Netzen erreichbar ist und keine Zugriffskontrolle über drpc.authorizer erzwungen wird.

Für Unternehmen im DACH-Raum ist das vor allem in Analytics-, Streaming- und Datenverarbeitungsumgebungen relevant, in denen Apache Storm noch produktiv eingesetzt wird. Wer Storm gar nicht nutzt oder keinen DRPC-Endpunkt betreibt, hat aus dieser CVE voraussichtlich keine unmittelbare Baustelle.

Welche älteren Versionsstände genau betroffen sind, ist in den verfügbaren Angaben nicht präzisiert; genannt wird nur das Update auf 3.1.0 als Abhilfe.

Empfohlene Maßnahmen

Erste Priorität hat das Update auf Apache Storm 3.1.0. Das beseitigt die Ursache, statt nur die Angriffsfläche zu verkleinern.

Wo ein sofortiges Update nicht möglich ist, sollten Administratoren als Zwischenmaßnahme drpc.authorizer aktivieren und den Zugriff strikt auf vertrauenswürdige Principals begrenzen. Parallel dazu gehören DRPC-Ports per Firewall, Security Groups, ACLs oder vorgeschalteten Proxys aus nicht vertrauenswürdigen Netzen blockiert.

Prüfen Sie außerdem zeitnah, ob DRPC überhaupt benötigt wird. Nicht genutzte Endpunkte sollten deaktiviert oder zumindest intern segmentiert werden. Für den Betrieb empfiehlt sich ergänzend ein Monitoring auf Heap-Auslastung, Prozessneustarts und ungewöhnlich viele unterschiedliche DRPC-Funktionsnamen, damit ein Missbrauch schneller auffällt.

Für Change-Management und Priorisierung ist die Reihenfolge klar: 1. Exponierung prüfen, 2. Zugriff beschränken, 3. Update einspielen, 4. Telemetrie nachziehen.

Einschätzung von CyberSecurity-News.de

Die technische Schwere ist hoch, und die Standardlage ohne gesetzten drpc.authorizer macht die Schwachstelle in schlecht abgeschirmten Umgebungen unnötig riskant. Positiv ist, dass eine konkrete Abhilfe mit Version 3.1.0 genannt wird und auch sinnvolle Sofortmaßnahmen vorliegen.

Die Informationslage bleibt an einigen Stellen knapp. Es fehlt eine saubere Eingrenzung aller betroffenen Versionen, was die operative Bewertung in größeren Beständen erschwert. Für die meisten Leser ist das kein Massenereignis wie bei weit verbreiteten Edge-Systemen, für Teams mit Apache Storm und aktivem DRPC aber ein Thema mit hoher Priorität.

Fazit

Wenn Sie Apache Storm mit DRPC einsetzen, sollten Sie die Erreichbarkeit des Endpunkts sofort prüfen und auf 3.1.0 aktualisieren. Ist das kurzfristig nicht möglich, müssen Zugriffskontrolle und Netzabschottung als Pflichtmaßnahme umgesetzt werden. Ohne diese Schritte kann schon einfacher Netzwerkzugang genügen, um den Dienst durch Speichererschöpfung aus dem Betrieb zu nehmen.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-82439