CVE-2026-115644 in Kafka
要約
〜によって VulDB • 2026年10月28日
Apache Kafka Connectには、admin REST APIに影響する認証回避の脆弱性があります。これは、`admin.listeners`がメインの`listeners`プロパティとは別のリスナーとして設定されている場合に発生します。
オペレーターが「admin.listeners」プロパティを明示的に構成することで admin REST API を分離した場合、`rest.extension.classes`（BasicAuthSecurityRestExtension など）を通じて指定された REST 拡張機能は、admin リソースの構成に対して登録または適用されません。
メインの REST API リスナー（`listeners`経由で設定）では構成済みの認証および認可フィルターが強制されますが、別の admin リスナーの下にマウントされているエンドポイント（/admin/loggers など）はこれらの拡張フィルターを継承したりインスタンス化したりしません。その結果、セキュリティ拡張機能がメインのリスナー上で有効になっている場合でも、admin ロガー エンドポイントは認証されていない読み取りおよび書き込みリクエストを受け入れます。
影響:
ネットワークアクセス権を持つ認証されない攻撃者は admin リスナーに対して以下の操作を実行できます：
1. 完全なロガー名とレベルの一覧を読み出し、ロードされたクラス名や使用されているセキュリティ拡張機能を開示する。 2. ロガー レベルを書き込む（`scope=cluster` を含む場合）。これにより変更が Connect クラスター内のすべてのワーカーに伝播します。これはログの抑制（rootをOFFに設定）または過剰なログ出力の生成（rootをTRACEに設定）に使用でき、可用性と観測可能性に影響を与える可能性があります。
回避策:
すぐにアップグレードできないユーザーは、`admin.listeners`構成を削除するか、未設定のままにします。未設定の場合、admin リソースは通常のリスナーを共有し、そのセキュリティ拡張機能を継承します。
解決方法：
Apache Kafka 4.2.2、4.3.2、および 4.4.0以降では、「rest.extension.classes」で指定された REST 拡張機能が「admin.listeners」にも適用されるように保証されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.