CVE-2026-110952 in Kafka
Zusammenfassung
von VulDB • 28.10.2026
Ein Kafka-Broker, der Clients mit SASL/OAUTHBEARER unter Verwendung des integrierten JWKS-gestützten Validators authentifiziert, überprüft stets die JWT-Signatur, doch zwei weitere Prüfungen werden nur bei expliziter Konfiguration durchgeführt:
- Die Issuer (iss)-Anforderung wird nur dann geprüft, wenn sasl.oauthbearer.expected.issuer festgelegt ist. Wenn sie nicht gesetzt ist, wird ein gültig signiertes Token mit der erwarteten Audience akzeptiert, unabhängig davon, welcher Aussteller es erstellt hat. - Eine Audience (aud)-Anforderung ist nur erforderlich, wenn sasl.oauthbearer.expected.audience festgelegt ist. Wenn sie nicht gesetzt ist, wird ein gültig signiertes Token, das die aud-Anforderung weglässt, akzeptiert. (Ein Token mit einer aud-Anforderung wird weiterhin abgelehnt, wenn keine erwartete Audience konfiguriert ist.)
Beide Optionen sind standardmäßig nicht festgelegt und wurden seit KIP-768 (3.1.0) als optional dokumentiert (Bedeutung: LOW).
Auswirkung: Die Ausnutzung ist hauptsächlich in Bereitstellungen realisierbar, bei denen der JWKS-Endpunkt Signierschlüssel für mehr als einen Issuer bereitstellt (ein Multi-Tenant-Identitätsanbieter, ein aggregierter/geteilter JWCS oder geteilte Signierschlüssel): Ein Token, das für einen anderen Issuer erstellt wurde, oder ein Token ohne Audience-Angabe, kann zur Authentifizierung akzeptiert werden – potenziell als Principal mit höheren Berechtigungen. In einer Single-Issuer-Bereitstellung, bei der der Anbieter die iss-Anforderung kontrolliert und audience-umgrenzte Tokens ausstellt, ist das Risiko begrenzt. Der Vertrauensanker für die Signatur wird in allen Fällen durchgesetzt. Dies unterscheidet sich von CVE-2026-33557 (Akzeptanz nicht signierter/ungeprüfter Tokens); hier wird die Signatur validiert, und nur die Issuer-/Audience-Prüfungen werden standardmäßig nicht erzwungen.
Minderung (alle betroffenen Versionen, kein Upgrade erforderlich): Legen Sie sowohl sasl.oauthbearer.expected.issuer (auf den exakten iss-Wert Ihres Anbieters) als auch sasl.oauthbearer.expected.audience (auf die Audience(s), die Ihre Brokers erwarten) pro Listener fest. Brokers, die diese Einstellungen vornehmen, führen genaue Issuer-/Audience-Prüfungen durch und sind nicht betroffen. Beide Optionen sind seit Version 3.1.0 verfügbar.
Lösung: - Ab Apache Kafka 4.4.0 startet ein Broker mit einem konfigurierten JWKS-Endpunkt nur dann, wenn sowohl sasl.oauthbearer.expected.issuer als auch sasl.oauthbearer.expected.audience festgelegt sind (standardmäßig sicher). Bereitstellungen, die den Issuer und/oder die Audience bewusst nicht einschränken möchten, können sich pro Achse mit sasl.oauthbearer.allow.unverified.issuer=true und/oder sasl.oauthbearer.allow.unverified.audience=true ausschließen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.