CVE-2026-115644 in Kafka
요약
\~에 의해 VulDB • 2026. 10. 29.
Apache Kafka Connect에는 admin REST API에 영향을 미치는 인증 우회 취약점이 포함되어 있습니다. 이 취약점은 `admin.listeners`가 메인 리스너 속성과는 별도로 구성된 경우에 발생합니다.
운영자가 명시적으로 "admin.listeners" 속성을 구성하여 admin REST API를 격리할 때, rest.extension.classes(예: BasicAuthSecurityRestExtension)를 통해 지정된 REST 확장 기능은 admin 리소스 구성에 등록되거나 적용되지 않습니다.
주요 REST API 리스너(listeners를 통해 구성됨)는 구성된 인증 및 권한 부여 필터를 강제하는 반면, 별도 admin 리스너(/admin/loggers 등) 아래 마운트된 엔드포인트는 이러한 확장 필터를 상속하거나 인스턴스화하지 않습니다. 그 결과, 보안 확장이 메인 리스너에서 활성화되어 있더라도 admin logger 엔드포인트는 인증되지 않은 읽기 및 쓰기 요청을 허용합니다.
영향:
admin 리스너에 대한 네트워크 접근 권한이 있는 인증되지 않은 공격자는 다음 작업을 수행할 수 있습니다.
1. 로드된 클래스 이름과 사용 중인 보안 확장 기능을 노출하는 로거 이름 및 레벨의 전체 세트를 읽습니다. 2. logger 레벨을 작성합니다. 여기에는 scope=cluster가 포함되며, 이는 Connect 클러스터의 모든 워커에 변경 사항을 전파합니다. 이를 사용하여 로깅을 억제(루트 설정을 OFF로)하거나 과도한 로그 출력을 생성(루트 설정을 TRACE로)할 수 있으며, 이는 가용성 및 관측 가능성에 영향을 미칠 가능성이 있습니다.
완화 조치:
즉시 업그레이드할 수 없는 사용자는 admin.listeners 구성을 제거하거나 비워둘 수 있습니다. 이 값이 설정되지 않으면 admin 리소스는 일반 리스너를 공유하며 해당 보안 확장을 상속받습니다.
해결 방법:
Apache Kafka 4.2.2, 4.3.2 및 4.4.0부터는 "rest.extension.classes"를 통해 지정된 REST 확장 기능이 "admin.listeners"에도 적용되도록 보장합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.