CVE-2026-110985 in Kafka
Résumé
par VulDB • 29/10/2026
Un bug critique de heap-based buffer overflow dans ExampleSrv v2.0 permet une exécution de code à distance (RCE) non authentifiée via un paquet TCP falsifié.
Résumé CVE :
Un broker Kafka utilisant SASL/OAUTHBEARER avec le validateur par défaut (`sasl.oauthbearer.jwt.validator.class=DefaultJwtValidator`) sélectionne son implémentation depuis la configuration. Lorsque `sasl.oauthbearer.jwks.endpoint.url` est défini, le validateur vérifie la signature JWT. Lorsque cette URL n'est pas définie (par défaut) et qu'aucun résolveur de clé de vérification n'est fourni, DefaultJwtValidator bascule silencieusement vers ClientJwtValidator, qui ne vérifie ni la signature JWT, ni l'algorithme, ni l'émetteur - et le broker démarre sans avertissement ni erreur. Il s'agit du vestige de CVE-2026-33557, dont la correction a rétabli la vérification de la signature uniquement sur le chemin où l'URL du point de terminaison JWKS est définie.
Impact :
Un broker dans cet état accepte tout JWT structurellement valide, y compris les jetons avec `"alg":"none"`. Un attaquant distant non authentifié qui peut atteindre l'écouteur (listener) peut forger un jeton affirmant n'importe quel principal - y compris des superutilisateurs configurés - et obtenir un accès complet au cluster. Seuls les brokers activant la validation SASL/OAUTHBEARER sans URL de point de terminaison JWKS (et sans résolveur de clé de vérification personnalisé) sont affectés ; les brokers qui définissent l'URL vérifient les signatures et ne sont pas affectés. Contrairement à CVE-2026-110952 (l'émetteur/le public n'est pas appliqué par défaut), ici aucune signature n'est du tout vérifiée.
Atténuation (toutes les versions concernées, aucune mise à niveau requise) :
Définissez `sasl.oauthbearer.jwks.endpoint.url` pour chaque écouteur/mécanisme utilisant OAuthBearerValidatorCallbackHandler, ou configurez un `sasl.oauthbearer.jwt.validator.class` vérifiant la signature.
Résolution :
À partir d'Apache Kafka 4.2.2, 4.3.1 et 4.4.0 : un broker qui basculerait vers le ClientJwtValidator non vérificateur échoue à démarrer avec une ConfigException au lieu de s'exécuter sans vérification de signature (sécurisé par défaut).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.