В Lightbend Akka до 2.8.1 асинхронный DNS-резолвер (используемый Discovery в режиме DNS и транзитивно Cluster Bootstrap) использует предска…

В Lightbend Akka до 2.8.1 асинхронный DNS-резолвер (используемый Discovery в режиме DNS и транзитивно Cluster Bootstrap) использует предсказуемые идентификаторы транзакций DNS при разрешении записей DNS, что делает разрешение DNS подверженным отравлению злоумышленником. Если приложение, выполняющее обнаружение, не проверяет (например, через TLS) подлинность обнаруженной службы, это может привести к утечке данных приложения (например, события сохранения могут быть опубликованы в непредназначенном брокере Kafka). Если такая проверка выполняется, то отравление представляет собой отказ в доступе к намеченной службе. Это затрагивает Akka 2.5.14-2.8.0 и Akka Discovery до 2.8.0.