CVE-2026-110952 in Kafka
الملخص
بحسب VulDB • 28/10/2026
يتمتع موزع Kafka الذي يصادق على العملاء باستخدام SASL/OAUTHBEARER مع المُصدِّق المدعوم بـ JWKS المرفق بالتحقق من توقيع JWT دائمًا، لكن فحوصتين إضافيتين لا تُنفَّذان إلا عند التكوين الصريح:
- يتم التحقق من مطالبة المصدر (iss) فقط عندما تكون sasl.oauthbearer.expected.issuer مُعدّة. وعندما تكون غير مُعدة، يُقبل رمز موقع بشكل صحيح ويحمل الجمهور المتوقع بغض النظر عن الجهة التي أصدرته. - مطلوبة مطالبة الجمهور (aud) فقط عند تعيين sasl.oauthbearer.expected.audience. وعندما لا يتم ضبطها، يقبل الرمز الموقع بشكل صحيح والذي يتجاهل مطالبة aud. (يُرفض الرمز الذي يحمل مطالبة aud عندما لا يكون هناك جمهور متوقع مُعدّ).
كلا الخيارين غير مضبوطين افتراضيًا وقد تم توثيقهما على أنهما اختياريان (أهمية منخفضة) منذ KIP-768 (3.1.0).
التأثير: يمكن تحقيق التعرض بشكل رئيسي في عمليات النشر التي يكون فيها نقطة نهاية JWKS تقدم مفاتيح التوقيع لأكثر من مصدر واحد (مزود هوية متعدد المستأجرين، أو JWKS مجمع/مشترك، أو مفاتيح توقيع مشتركة): قد يتم قبول رمز صادر عن مصدر مختلف، أو رمز يفتقر إلى جمهور، للمصادقة - ربما ككيان رئيسي ذي امتيازات أعلى. في عملية نشر ذات مصدر واحد حيث يتحكم المزود في مطالبة iss ويصدر رموزًا محدودة الجمهور، يكون التعرض محدودًا. تظل نقطة الثقة للتوقيع مفروضة في جميع الحالات. هذا يختلف عن CVE-2026-33557 (قبول الرموز غير الموقعة/غير المُتحقق منها); هنا يتم التحقق من التوقيع ولا يتم فرض فحوصات المصدر/الجمهور افتراضيًا فقط.
التخفيف (جميع الإصدارات المتأثرة، لا يلزم ترقية): قم بتعيين كلٍ من sasl.oauthbearer.expected.issuer (إلى قيمة iss الدقيقة لمزودك) وsasl.oauthbearer.expected.audience (إلى الجمهور(ات) التي يتوقعها موزعوك)، لكل مستمع. الموزعات التي تضبط هذه القيم تقوم بفحوص مطابقة دقيقة للمصدر/الجمهور وهي غير متأثرة. كلاهما متاح منذ الإصدار 3.1.0.
الحل: - بدءًا من Apache Kafka 4.4.0: يفشل موزع مُعدّ بنقطة نهاية JWKS في البدء ما لم يتم تعيين كلٍ من sasl.oauthbearer.expected.issuer وsasl.oauthbearer.expected.audience (آمن افتراضيًا). قد تختار عمليات النشر التي لا تقيد المصدر و/أو الجمهور عمدًا الخروج عن هذا القياس لكل محور باستخدام sasl.oauthbearer.allow.unverified.issuer=true و/أو sasl.oauthbearer.allow.unverified.audience=true.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.