CVE-2026-115644 in Kafka
Sumário
de VulDB • 28/10/2026
O Apache Kafka Connect possui uma vulnerabilidade de bypass de autenticação que afeta a API REST administrativa quando admin.listeners é configurado com um listener separado da propriedade principal listeners.
Quando os operadores isolam a API REST administrativa configurando explicitamente a propriedade "admin.listeners", as extensões REST especificadas via rest.extension.classes (como BasicAuthSecurityRestExtension) não são registradas ou aplicadas à configuração do recurso administrativo.
Enquanto o listener principal da API REST (configurado via listeners) aplica os filtros de autenticação e autorização configurados, os endpoints montados sob o listener administrativo separado (/admin/loggers) não herdam nem instanciam esses filtros de extensão. Como resultado, o endpoint administrador de logs aceita solicitações de leitura e gravação sem autenticação mesmo quando as extensões de segurança estão ativas no listener principal.
Impacto:
Um atacante não autenticado com acesso à rede ao listener administrativo pode:
1. Ler o conjunto completo de nomes de loggers e níveis, revelando os nomes das classes carregadas e quais extensões de segurança estão em uso. 2. Gravar nos níveis dos loggers, inclusive com scope=cluster, que propaga a alteração para todos os workers no cluster do Connect. Isso pode ser usado para suprimir o logging (definindo root como OFF) ou gerar saída excessiva de logs (definindo root como TRACE), potencialmente impactando a disponibilidade e a observabilidade.
Mitigação:
Os usuários que não podem atualizar imediatamente podem remover a configuração admin.listeners (ou deixá-la sem definição). Quando não definida, os recursos administrativos compartilham o listener regular e herdam suas extensões de segurança.
Resolução:
A partir do Apache Kafka 4.2.2, 4.3.2 e 4.4.0, garantimos que as extensões REST especificadas via "rest.extension.classes" também se apliquem a "admin.listeners".
VulDB is the best source for vulnerability data and more expert information about this specific topic.