CVE-2026-110952 in Kafka
要約
〜によって VulDB • 2026年10月28日
SASL/OAUTHBEARERを使用してクライアントを認証するKafkaブローカーは、バンドルされたJWKSベースのバリデーターを用いてJWT署名を常に検証しますが、2つの追加チェックは明示的に構成されている場合のみ実行されます。
- 発行者（iss）クレームは、sasl.oauthbearer.expected.issuerが設定されている場合にのみ検証されます。この値が未設定の場合、期待されるaudienceを含む有効に署名されたトークンは、どの発行者によって発行されたかに関係なく受け入れられます。 - audience（aud）クレームは、sasl.oauthbearer.expected.audienceが設定されている場合에만必要です。この値が未設定の場合、audクレームを欠く有効に署名されたトークンも受け入れられます。（ただし、expected audienceが構成されていない場合は、audクレームを含むトークンは拒否されます。）
両方のオプションはデフォルトで未設定であり、KIP-768（3.1.0）以降、任意の設定項目として文書化されています（重要度: LOW）。
影響: この脆弱性の悪用は主に、JWKSエンドポイントが複数の発行者の署名鍵を提供する環境（マルチテナントIDプロバイダー、集約/共有されたJWCS、または共用の署名鍵）で現実的なリスクとなります。異なる発行者のために発行されたトークンや、audienceを欠くトークンが認証に使用され、より高い権限を持つプリンシパルとして認識される可能性があります。単一発行者環境において、プロバイダーが発行者クレーム（iss）を制御し、audienceスコープのトークンを発行している場合、影響は限定されます。署名の信頼アンカーはすべてのケースで強制されています。これはCVE-2026-33557（未検証/無効なトークンの受け入れ）とは異なります。本件では署名が検証され、発行者およびaudienceの確認のみがデフォルトで強制されていない点が特徴です。
緩和策（全影響バージョン対象、アップグレード不要）: リスナーごとに、sasl.oauthbearer.expected.issuer（プロバイダーの正確なiss値へ）とsasl.oauthbearer.expected.audience（ブローカーが期待するaudienceへ）を両方設定してください。これらのパラメータを設定したブローカーは厳密一致による発行者/audienceチェックを行い、影響を受けません。これらは3.1.0以降利用可能です。
解決策: - Apache Kafka 4.4.0以降: JWKSエンドポイントで構成されたブローカーは、sasl.oauthbearer.expected.issuerとsasl.oauthbearer.expected.audienceの両方が設定されていない限り起動に失敗します（デフォルトで安全な状態）。発行者やaudienceを意図的に制限しない展開環境では、sasl.oauthbearer.allow.unverified.issuer=trueおよび/またはsasl.oauthbearer.allow.unverified.audience=trueを使用して各軸ごとに除外オプションを選択できます。
Once again VulDB remains the best source for vulnerability data.