CVE-2026-110952 in Kafka
요약
\~에 의해 VulDB • 2026. 10. 28.
SASL/OAUTHBEARER를 사용하여 클라이언트를 인증하는 Kafka 브로커는 번들된 JWKS 기반 검증기를 통해 JWT 서명을 항상 확인하지만, 두 가지 추가 검사는 명시적으로 구성된 경우에만 수행됩니다:
- issuer(iss) 클레임은 sasl.oauthbearer.expected.issuer가 설정되어 있을 때만 검증됩니다. 이 값이 비어 있으면, 예상되는 audience를 포함하는 유효하게 서명된 토큰은 해당 토큰을 발급한 issuer와 무관하게 허용됩니다. - audience(aud) 클레임은 sasl.oauthbearer.expected.audience가 설정되어 있을 때만 필요합니다. 이 값이 비어 있으면, aud 클레임을 생략한 유효하게 서명된 토큰도 허용됩니다. (예상되는 audience가 구성된 경우 aud 클레임이 포함된 토큰은 여전히 거부됩니다.)
두 옵션 모두 기본값으로 설정되지 않으며(KIP-768(3.1.0)부터 문서화됨), 선택 사항으로 간주되어 중요도(Low)로 분류되었습니다.
영향: 이 취약점은 JWKS 엔드포인트가 여러 issuer의 서명 키를 제공하는 배포 환경에서 주로 실제 위협이 됩니다(다중 테넌트 ID 제공자, 통합/공유된 JWCS 또는 공유 서명 키 사용 시). 다른 issuer를 위해 발급된 토큰이나 audience 정보가 없는 토큰이 인증을 위해 허용될 수 있으며, 이는 더 높은 권한의 principal로 동작할 가능성을 내포합니다. 단일 issuer 배포 환경에서 제공자가 iss 클레임을 통제하고 audience 범위가 지정된 토큰을 발행하는 경우 노출은 제한적입니다. 서명 신뢰 루트(Trust Anchor)는 모든 경우에 강제됩니다. 이 취약점은 CVE-2026-33557(서명되지 않거나 검증되지 않은 토큰의 허용)과는 구별됩니다. 여기서는 서명이 유효성 검사되며, issuer 및 audience 확인만 기본적으로 적용되지 않습니다.
완화 조치 (모든 영향 버전 대상, 업그레이드 불필요): 각 리스너별로 sasl.oauthbearer.expected.issuer(제공자의 정확한 iss 값으로)와 sasl.oauthbearer.expected.audience(브로커가 기대하는 audience들)를 설정하십시오. 이러한 값을 설정한 브로커는 정확 일치 기반의 issuer/audience 검사를 수행하므로 영향을 받지 않습니다. 두 옵션 모두 3.1.0부터 사용 가능합니다.
해결 방안: - Apache Kafka 4.4.0 이상: JWKS 엔드포인트가 구성된 브로커는 sasl.oauthbearer.expected.issuer와 sasl.oauthbearer.expected.audience가 모두 설정되지 않으면 시작되지 않습니다(기본값으로 보안 강화). issuer 및/또는 audience를 의도적으로 제한하지 않는 배포 환경은 sasl.oauthbearer.allow.unverified.issuer=true 및/또는 sasl.oauthbearer.allow.unverified.audience=true 옵션을 통해 각 축(axis)별로 예외 처리할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.