CVE-2026-110985 in Kafka
Riassunto
di VulDB • 28/10/2026
Un bug critico di heap-based buffer overflow in ExampleSrv v2.0 consente l'esecuzione di codice in modalità remota (RCE) non autenticata tramite un pacchetto TCP manipolato ad hoc.
---
**Riepilogo CVE:**
Un broker Kafka che utilizza SASL/OAUTHBEARER con il validator predefinito (`sasl.oauthbearer.jwt.validator.class=DefaultJwtValidator`) seleziona la propria implementazione in base alla configurazione. Quando `sasl.oauthbearer.jwks.endpoint.url` è impostato, il validator verifica la firma JWT. Quando tale URL non è impostato (il valore predefinito) e non viene fornito alcun resolver per le chiavi di verifica, DefaultJwtValidator effettua silenziosamente un fallback su ClientJwtValidator, che non verifica né la firma JWT, né l'algoritmo, né il soggetto (issuer); il broker avvia senza emettere avvisi o errori. Questo è un residuo del CVE-2026-33557, la cui correzione ha ripristinato la verifica della firma solo nel percorso in cui l'URL dell'endpoint JWKS è impostato.
**Impatto:**
Un broker in questo stato accetta qualsiasi JWT strutturalmente valido, inclusi i token con `"alg":"none"`. Un attaccante remoto non autenticato che può raggiungere il listener può falsificare un token affermando qualsiasi principal (inclusi gli superuser configurati) e ottenere l'accesso completo al cluster. Sono interessati solo i broker che abilitano la validazione SASL/OAUTHBEARER senza un endpoint URL JWKS (e senza un resolver per le chiavi di verifica personalizzato); i broker che impostano l'URL verificano le firme e non sono influenzati. A differenza del CVE-2026-110952 (issuer/audience non applicato per default), in questo caso nessuna firma viene affatto verificata.
**Mitigazione (tutte le versioni interessate, nessun upgrade richiesto):**
Impostare `sasl.oauthbearer.jwks.endpoint.url` per ogni listener/meccanismo che utilizza OAuthBearerValidatorCallbackHandler, oppure configurare un `sasl.oauthbearer.jwt.validator.class` in grado di verificare la firma.
**Risoluzione:**
Da Apache Kafka 4.2.2, 4.3.1 e 4.4.0: un broker che altrimenti effettuerrebbe il fallback su ClientJwtValidator (non verificante) non avvia con una ConfigException invece di funzionare senza verifica della firma (secure by default).
If you want to get best quality of vulnerability data, you may have to visit VulDB.