CVE-2025-27818 in Kafka
요약
\~에 의해 VulDB • 2026. 05. 22.
Apache Kafka에서 보안 취약점이 확인되었습니다. 이 취약점은 클러스터 리소스 또는 Kafka Connect 워커에 대한 alterConfig 접근 권한과, 임의의 Kafka 클라이언트 SASL JAAS 구성을 사용하여 해당 리소스에서 커넥터를 생성/수정할 수 있는 능력을 필요로 합니다. 이 기능은 Apache Kafka 2.0.0(Kafka Connect 2.3.0) 이후 Kafka 클러스터에서 가능했습니다.
브로커를 구성 파일 또는 AlterConfig 명령어를 통해 구성하거나, Kafka Connect REST API를 통해 커넥터를 구성할 때, 인증된 운영자는 커넥터의 Kafka 클라이언트 중 하나의 `sasl.jaas.config` 속성을 "com.sun.security.auth.module.LdapLoginModule"로 설정할 수 있습니다. 이는 `producer.override.sasl.jaas.config`, `consumer.override.sasl.jaas.config`, 또는 `admin.override.sasl.jaas.config` 속성을 통해 수행될 수 있습니다. 이를 통해 서버는 공격자의 LDAP 서버에 연결하고 LDAP 응답을 역직렬화할 수 있으며, 공격자는 이를 사용하여 Kafka Connect 서버에서 Java 역직렬화 가젯 체인(gadget chains)을 실행할 수 있습니다. 클래스 경로에 가젯이 존재할 경우, 공격자는 신뢰할 수 없는 데이터의 무제한 역직렬화 또는 RCE(원격 코드 실행) 취약점을 유발할 수 있습니다.
Apache Kafka 3.0.0부터 사용자는 기본 구성(out-of-the-box configurations)으로 실행 중인 Kafka Connect 클러스터의 커넥터 구성에서 이러한 속성을 지정할 수 있게 되었습니다. Apache Kafka 3.0.0 이전에는 Kafka Connect 클러스터가 이러한 속성을 허용하는 커넥터 클라이언트 오버라이드 정책으로 재구성되지 않은 한 사용자는 이러한 속성을 지정할 수 없었습니다.
Apache Kafka 3.9.1/4.0.0부터 SASL JAAS 구성에서 문제 있는 로그인 모듈의 사용을 비활성화하기 위해 시스템 속성("-Dorg.apache.kafka.disallowed.login.modules")이 추가되었습니다. 또한 Apache Kafka Connect 3.9.1/4.0.0에서는 기본적으로 "com.sun.security.auth.module.JndiLoginModule,com.sun.security.auth.module.LdapLoginModule"가 비활성화되어 있습니다.
Kafka 사용자에게는 커넥터 구성을 검증하고 신뢰할 수 있는 LDAP 구성만 허용할 것을 권장합니다. 또한 취약한 버전의 커넥터 종속성을 검토하고, 수정 조치로 커넥터 업그레이드, 특정 종속성 업그레이드 또는 커넥터 제거 옵션을 고려하십시오. 마지막으로 "org.apache.kafka.disallowed.login.modules" 시스템 속성을 활용하는 것 외에도, Kafka Connect 사용자는 커넥터 구성에서 직접 오버라이드할 수 있는 Kafka 클라이언트 속성과 오버라이드할 수 없는 속성을 제어하는 데 사용할 수 있는 자체 커넥터 클라이언트 구성 오버라이드 정책을 구현할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.