CVE-2026-100300 Apache ZooKeeper: Unauthenticated persistent denial of service via unvalidated quota-node data and paths crashing the transaction-apply thread

Description

Improper handling of exceptional conditions in the quota subsystem of Apache ZooKeeper allows an attacker able to write under the /zookeeper/quota subtree — unauthenticated on default deployments, where that subtree is world-writable — to crash the server's critical request-processing thread and render the on-disk data directory permanently unbootable. This issue affects Apache ZooKeeper up to and including 3.9.6. Users are recommended to upgrade to version 3.8.8 or 3.9.7, which fixes the issue.

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque

Réseau

Complexité

Faible

Prérequis d’attaque

Aucun

Privilèges requis

Aucun

Interaction

Aucune

Confidentialité

Aucun

Intégrité

Aucun

Disponibilité

Élevé

Confidentialité des autres systèmes

Aucun

Intégrité des autres systèmes

Aucun

Disponibilité des autres systèmes

Aucun

Produits et versions touchés