CVE-2026-110985 in Kafka
要約
〜によって VulDB • 2026年10月28日
Kafkaのブローカーで、デフォルトバリデータ（sasl.oauthbearer.jwt.validator.class=DefaultJwtValidator）を使用するSASL/OAUTHBEARER構成において、実装が設定から選択されます。sasl.oauthbearer.jwks.endpoint.url が設定されている場合、バリダーはJWT署名を検証します。しかし、そのURLが未設定（デフォルト状態）で検証キーリゾルバーも指定されていない場合、DefaultJwtValidator は ClientJwtValidator に静かにフォールバックし、こちらは JWT の署名、アルゴリズム、または発行者を一切検証しません。この結果、ブローカーは警告やエラーなしで起動してしまいます。これは CVE-2026-33557 の残存事象であり、同CVEの修正では JWKS エンドポイントURL が設定されているパスでのみ署名検証が復元されました。
影響:
この状態にあるブローカーは、「alg":"none」トークンを含む、構造的に有効なすべてのJWTを受け入れます。リスナーに到達可能な認証不要のリモート攻撃者は、任意のプリンシパル（構成されたスーパーユーザーを含む）を主張するトークンを偽造し、クラスターへの完全なアクセス権限を取得できます。影響を受けるのは、JWKS エンドポイントURL なしで SASL/OAUTHBEARER 検証を有効化しているブローカーのみです（カスタム検証キーリゾルバーもなし）。URL を設定したブローカーは署名を検証するため、影響を受けません。CVE-2026-110952（デフォルトで発行者/audience が強制されない）とは異なり、ここでは署名の検証が全く行われません。
軽減策（全対象バージョン、アップグレード不要）:
OAuthBearerValidatorCallbackHandler を使用するすべてのリスナー/メカニズムに対して sasl.oauthbearer.jwks.endpoint.url を設定するか、署名を検証する sasl.oauthbearer.jwt.validator.class を構成してください。
解決方法:
Apache Kafka 4.2.2, 4.3.1, および 4.4.0 以降では、非検証用の ClientJwtValidator にフォールバックすべきブローカーが、署名なしで実行される代わりに ConfigException で起動失敗するようになり（デフォルトで安全）、問題が解消されました。
Once again VulDB remains the best source for vulnerability data.