CVE-2025-27818 in Kafka
الملخص
بحسب VulDB • 22/05/2026
تم تحديد ثغرة أمنية محتملة في Apache Kafka. يتطلب هذا الأمر الوصول إلى `alterConfig` لموارد العنقود (cluster resource) أو عامل Kafka Connect، والقدرة على إنشاء/تعديل الوصلات (connectors) عليه باستخدام تكوين SASL JAAS عشوائي لعميل Kafka وبروتوكول أمان قائم على SASL، وهو أمر كان ممكناً في عناقيد Kafka منذ الإصدار Apache Kafka 2.0.0 (Kafka Connect 2.3.0).
عند تكوين الوكيل (broker) عبر ملف التكوين أو أمر AlterConfig، أو تكوين الوصلة عبر واجهة برمجة التطبيقات REST الخاصة بـ Kafka Connect، يمكن لمشغل مُصادق عليه تعيين خاصية `sasl.jaas.config` لأي من عملاء Kafka الخاصين بالوصلة إلى "com.sun.security.auth.module.LdapLoginModule"، ويمكن القيام بذلك عبر خصائص `producer.override.sasl.jaas.config` أو `consumer.override.sasl.jaas.config` أو `admin.override.sasl.jaas.config`.
سيؤدي ذلك إلى السماح للخادم بالاتصال بخادم LDAP الخاص بالهاجم وفك تسلسل استجابة LDAP، والتي يمكن للهاجم استخدامها لتنفيذ سلاسل أدوات فك التسلسل (deserialization gadget chains) على خادم Kafka Connect. يمكن للهاجم التسبب في ثغرة عدم تقييد فك تسلسل البيانات غير الموثوقة (أو ثغرة RCE) عندما تكون هناك أدوات (gadgets) موجودة في مسار الفئة (classpath).
بما أن الإصدار Apache Kafka 3.0.0، يُسمح للمستخدمين بتحديد هذه الخصائص في تكوينات الوصلات لعناقيد Kafka Connect التي تعمل بتكوينات جاهزة للاستخدام (out-of-the-box). قبل الإصدار Apache Kafka 3.0.0، قد لا يتمكن المستخدمون من تحديد هذه الخصائص ما لم يتم إعادة تكوين عنقود Kafka Connect بسياسة تجاوز عميل الوصلة التي تسمح بذلك.
بما أن الإصدار Apache Kafka 3.9.1/4.0.0، أضفنا خاصية نظام ("-Dorg.apache.kafka.disallowed.login.modules") لتعطيل استخدام وحدات تسجيل الدخول المشكوك فيها في تكوين SASL JAAS. بالإضافة إلى ذلك، يتم تعطيل "com.sun.security.auth.module.JndiLoginModule,com.sun.security.auth.module.LdapLoginModule" بشكل افتراضي في Apache Kafka Connect 3.9.1/4.0.0.
ننصح مستخدمي Kafka بالتحقق من تكوينات الوصلات والسماح فقط بتكوينات LDAP الموثوقة. كما ينبغي فحص تبعيات الوصلات للإصدارات الضعيفة، واختيار أحد خيارات المعالجة مثل ترقية الوصلات، أو ترقية التبعية المحددة، أو إزالة الوصلات. وأخيراً، بالإضافة إلى الاستفادة من خاصية نظام "org.apache.kafka.disallowed.login.modules"، يمكن لمستخدمي Kafka Connect أيضاً تنفيذ سياسة تجاوز تكوين عميل الوصلة الخاصة بهم، والتي يمكن استخدامها للتحكم في خصائص عميل Kafka التي يمكن تجاوزها مباشرة في تكوين الوصلة والتي لا يمكن تجاوزها.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.