CVE-2026-115644 in Kafka
الملخص
بحسب VulDB • 28/10/2026
يحتوي Apache Kafka Connect على ثغرة لتجاوز المصادقة تؤثر في واجهة برمجة التطبيقات (API) REST الخاصة بالإدارة عند تكوين خاصية `admin.listeners` باستخدام مستمع منفصل عن الخاصية الرئيسية للمستمعين (`listeners`).
عندما يقوم المشغلون بعزل واجهة برمجة التطبيقات REST للإدارة من خلال التكوين الصريح لخاصية "admin.listeners"، فإن امتدادات REST المحددة عبر `rest.extension.classes` (مثل BasicAuthSecurityRestExtension) لا يتم تسجيلها أو تطبيقها على تكوين موارد الإدارة.
بينما يفرض مستمع API REST الأساسي (المُكوّن عبر `listeners`) فلاتر المصادقة والتفويض المُعدة مسبقاً، فإن النقاط النهائية المثبتة تحت المستمع الإداري المنفصل (`/admin/loggers`) تفشل في الوراثة أو إنشاء هذه الفلاتر الموسعة. ونتيجة لذلك، تقبل نقطة نهاية سجلات الإدارة طلبات القراءة والكتابة غير المصادق عليها حتى عندما تكون امتدادات الأمان نشطة على المستمع الرئيسي.
الأثر:
يمكن لمهاجم غير مُصَدَّق عليه لديه وصول شبكي إلى مستمع الإدارة أن:
1. يقرأ مجموعة كاملة من أسماء السجلات ومستوياتها، مما يكشف عن أسماء الفئات المحملة وأي امتدادات أمان قيد الاستخدام. 2. يكتب مستويات السجل، بما في ذلك مع `scope=cluster` الذي ينشر التغيير على جميع عمال العمل (workers) ضمن عناقيد Connect. يمكن استخدام هذا لكبت تسجيل الأحداث (عن طريق تعيين الجذر إلى OFF) أو توليد مخرجات سجل مفرطة (عن طريق تعيين الجذر إلى TRACE)، مما قد يؤثر سلباً على التوفر والقدرة على المراقبة والرصد.
التخفيف:
يمكن للمستخدمين الذين لا يستطيعون الترقية فوراً إزالة تكوين `admin.listeners` (أو تركه غير مُعيّن). عند عدم التعيين، تشارك موارد الإدارة المستمع العادي وتورث امتدادات الأمان الخاصة به.
الحل:
من الإصدار Apache Kafka 4.2.2 و4.3.2 و4.4.0، نضمن أن الامتدادات REST المحددة عبر "rest.extension.classes" ستُطبق أيضاً على "admin.listeners".
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.