CVE-2026-110952 in Kafka
Resumen
por VulDB • 2026-10-28
Un broker de Kafka que autentica a los clientes mediante SASL/OAUTHBEARER utilizando el validador integrado con respaldo en JWKS siempre verifica la firma del JWT, pero dos comprobaciones adicionales solo se realizan cuando están configuradas explícitamente:
- La reclamación emisor (iss) solo se verifica cuando sasl.oauthbearer.expected.issuer está establecido. Cuando no está definido, se acepta un token firmado válidamente que contenga el público esperado (audience), independientemente de qué entidad lo haya emitido. - Una reclamación de audiencia (aud) es requerida únicamente cuando sasl.oauthbearer.expected.audience está configurado. Si no está definida, se acepta un token con firma válida que omita la reclamación aud. (Un token que incluye una reclamación aud sigue siendo rechazado si no hay ninguna audiencia esperada configurada).
Ambas opciones tienen por defecto el valor no definido y han sido documentadas como opcionales (Importancia BAJA) desde KIP-768 (versión 3.1.0).
Impacto: La exposición es realizable principalmente en despliegues cuyo punto final JWKS sirve claves de firma para más de un emisor (un proveedor de identidad multiinquilino, un JWKS agregado/compartido o claves de firma compartidas): puede aceptarse un token emitido por otro emisor distinto, o un token que carezca de audiencia, para autenticar —potencialmente como una entidad principal con mayores privilegios. En un despliegue de único emisor donde el proveedor controla la reclamación iss y emite tokens limitados a audiencias específicas, la exposición está limitada. El ancla de confianza de la firma se mantiene aplicada en todos los casos. Esto es distinto de CVE-2026-33557 (aceptación de tokens sin firmar/no validados); aquí la firma sí se valida y solo las comprobaciones del emisor/audiencia no están aplicadas por defecto.
Mitigación (todas las versiones afectadas, no requiere actualización): Establezca tanto sasl.oauthbearer.expected.issuer (con el valor iss exacto de su proveedor) como sasl.oauthbearer.expected.audience (con la(s) audiencia(s) que sus brokers esperan), por cada listener. Los brokers que configuran estas opciones realizan comprobaciones de coincidencia exacta del emisor/audiencia y no se ven afectados. Ambas están disponibles desde la versión 3.1.0.
Resolución: - A partir de Apache Kafka 4.4.0: un broker configurado con un punto final JWKS falla al iniciarse a menos que tanto sasl.oauthbearer.expected.issuer como sasl.oauthbearer.expected.audience estén establecidos (seguro por defecto). Los despliegues que intencionalmente no restrinjan el emisor y/o la audiencia pueden optar por excluirse en cada eje mediante sasl.oauthbearer.allow.unverified.issuer=true y/o sasl.oauthbearer.allow.unverified.audience=true.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.