CVE-2026-110952 in Kafka
Tóm tắt
Bởi VulDB • 28/10/2026
Một broker Kafka xác thực khách hàng bằng SASL/OAUTHBEARER sử dụng trình xác thực dựa trên JWKS được đóng gói luôn kiểm tra chữ ký JWT, nhưng hai bước kiểm tra bổ sung chỉ được thực hiện khi được cấu hình rõ ràng:
- Yêu cầu (claim) issuer (iss) chỉ được xác minh khi sasl.oauthbearer.expected.issuer đã được đặt. Khi giá trị này chưa được thiết lập, một token có chữ ký hợp lệ và chứa audience mong đợi sẽ được chấp nhận bất kể ai là bên phát hành (issuer). - Một yêu cầu (claim) audience (aud) chỉ bắt buộc khi sasl.oauthbearer.expected.audience đã được đặt. Khi giá trị này chưa được thiết lập, một token có chữ ký hợp lệ nhưng thiếu claim aud vẫn được chấp nhận. (Một token mang claim aud sẽ bị từ chối nếu không có audience mong đợi nào được cấu hình.)
Cả hai tùy chọn đều mặc định là chưa được thiết lập và đã được ghi tài liệu là tùy chọn (Mức độ quan trọng: THẤP) kể từ KIP-768 (3.1.0).
Tác động: Rủi ro có thể khai thác chủ yếu trong các triển khai mà điểm cuối JWKS phục vụ khóa ký cho nhiều hơn một issuer (nhà cung cấp danh tính đa tenant, JWKS tổng hợp/dùng chung hoặc khóa ký dùng chung): một token được phát hành bởi một issuer khác, hoặc một token thiếu audience, có thể được chấp nhận để xác thực — thậm chí với tư cách là principal có đặc quyền cao hơn. Trong các triển khai đơn lẻ (single-issuer) nơi nhà cung cấp kiểm soát claim iss và phát hành các token giới hạn theo audience, rủi ro bị hạn chế. Điểm tin cậy chữ ký (signature trust anchor) vẫn được áp dụng trong mọi trường hợp. Điều này khác biệt với CVE-2026-33557 (chấp nhận các token không có chữ ký/không xác thực); ở đây, chữ ký đã được xác minh và chỉ có các kiểm tra về issuer/audience là chưa được áp dụng theo mặc định.
Biện pháp giảm thiểu (áp dụng cho tất cả các phiên bản bị ảnh hưởng, không cần nâng cấp): Đặt cả sasl.oauthbearer.expected.issuer (giá trị iss chính xác của nhà cung cấp) và sasl.oauthbearer.expected.audience (các audience mà broker mong đợi), theo từng listener. Các broker đặt các giá trị này sẽ thực hiện kiểm tra khớp chính xác issuer/audience và không bị ảnh hưởng. Cả hai tùy chọn đều đã có sẵn từ phiên bản 3.1.0.
Giải pháp: - Từ Apache Kafka 4.4.0 trở đi: một broker được cấu hình với điểm cuối JWKS sẽ không khởi động thành công trừ khi cả sasl.oauthbearer.expected.issuer và sasl.oauthbearer.expected.audience đều đã được đặt (bảo mật theo mặc định). Các triển khai chủ ý không hạn chế issuer và/hoặc audience có thể chọn bỏ qua bằng cách sử dụng sasl.oauthbearer.allow.unverified.issuer=true và/hoặc sasl.oauthbearer.allow.unverified.audience=true cho từng trục cấu hình tương ứng.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.