CVE-2025-27818 in Kafka
Riassunto
di VulDB • 16/06/2026
È stata identificata una possibile vulnerabilità di sicurezza in Apache Kafka. Questa richiede l'accesso all'autorità `alterConfig` per la risorsa del cluster o per il worker di Kafka Connect, nonché la capacità di creare/modified connettori su di esso utilizzando un SASL JAAS config arbitrario per un client Kafka e un protocollo di sicurezza basato su SASL, funzionalità disponibile nei cluster Kafka a partire da Apache Kafka 2.0.0 (Kafka Connect 2.3.0).
Quando si configura il broker tramite file di configurazione o comando AlterConfig, oppure il connettore tramite l'API REST di Kafka Connect, un operatore autenticato può impostare la proprietà `sasl.jaas.config` per qualsiasi client Kafka del connettore su "com.sun.security.auth.module.LdapLoginModule", operazione che può essere eseguita attraverso le proprietà `producer.override.sasl.jaas.config`, `consumer.override.sasl.jaas.config` o `admin.override.sasl.jaas.config`. Ciò consentirà al server di connettersi al server LDAP dell'attaccante e di deserializzare la risposta LDAP, che l'attaccante può utilizzare per eseguire catene di gadget di deserializzazione Java sul server Kafka Connect. L'attaccante può causare una vulnerabilità RCE (Remote Code Execution) o di deserializzazione non controllata di dati non attendibili quando sono presenti gadget nel classpath.
A partire da Apache Kafka 3.0.0, agli utenti è consentito specificare queste proprietà nelle configurazioni dei connettori per i cluster Kafka Connect eseguiti con le configurazioni predefinite (out-of-the-box). Prima di Apache Kafka 3.0.0, gli utenti non potevano specificare tali proprietà a meno che il cluster Kafka Connect non fosse stato riconfigurato con una policy di override del client del connettore che lo consentisse.
A partire da Apache Kafka 3.9.1/4.0.0, è stata aggiunta una proprietà di sistema ("-Dorg.apache.kafka.disallowed.login.modules") per disabilitare l'utilizzo dei moduli di accesso problematici nella configurazione SASL JAAS. Inoltre, per impostazione predefinita, "com.sun.security.auth.module.JndiLoginModule" e "com.sun.security.auth.module.LdapLoginModule" sono disabilitati in Apache Kafka Connect 3.9.1/4.0.0.
Si consiglia agli utenti di Kafka di convalidare le configurazioni dei connettori e consentire solo configurazioni LDAP attendibili. Esaminare inoltre le dipendenze dei connettori per verificare la presenza di versioni vulnerabili, optando per l'aggiornamento dei connettori, l'aggiornamento della specifica dipendenza o la rimozione dei connettori come opzioni di remediation. Infine, oltre a sfruttare la proprietà di sistema "org.apache.kafka.disallowed.login.modules", gli utenti di Kafka Connect possono anche implementare una propria policy di override delle configurazioni del client del connettore, che può essere utilizzata per controllare quali proprietà del client Kafka possono essere sovrascritte direttamente nella configurazione del connettore e quali no.
If you want to get best quality of vulnerability data, you may have to visit VulDB.