Apache Kafka Clients: Élévation de privilèges à l'accès en lecture au système de fichiers via ConfigProvider automatique

Cette vulnérabilité permet à un attaquant de prendre le contrôle des configurations de Kafka en fournissant des données malveillantes via des ConfigProviders externes. L'impact peut être significatif, allant de la modification du comportement de Kafka à la compromission complète du cluster. Par exemple, un attaquant pourrait modifier les paramètres d'authentification, les règles d'accès aux données ou les configurations de sécurité, ouvrant la voie à des attaques plus sophistiquées. La surface d'attaque est particulièrement large dans les environnements où les configurations de Kafka sont gérées par des processus externes ou des scripts non fiables. Bien que des cas d'exploitation directe n'aient pas été publiquement rapportés, la nature de la vulnérabilité et la large utilisation de Kafka en font une cible potentielle pour des acteurs malveillants.

Organizations utilizing Apache Kafka Clients in environments where configuration data is sourced from untrusted parties are at significant risk. This includes cloud deployments where configuration files are stored in shared storage, containerized environments where environment variables are easily manipulated, and systems with legacy configuration management practices. Shared hosting environments where multiple users share the same Kafka instance are particularly vulnerable.

• java / server:

ps -ef | grep Kafka

• java / server:

find /opt/kafka /usr/local/kafka -name config.properties -print

• java / server:

journalctl -u kafka -f | grep "ConfigProvider"

1. 2024-11-19Disclosure

   disclosure

1. Réservé2024-03-28
2. Publiée2024-11-19
3. Modifiée2026-02-04
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour Apache Kafka Clients vers la version 3.7.1 ou supérieure, qui corrige cette vulnérabilité. Si une mise à niveau immédiate n'est pas possible, des mesures temporaires peuvent être prises. Il est crucial de s'assurer que les ConfigProviders externes ne sont accessibles qu'à des sources de confiance. Limiter l'accès aux fichiers de configuration et aux variables d'environnement utilisés par Kafka est également essentiel. Envisagez de mettre en place des règles de pare-feu pour restreindre l'accès au cluster Kafka aux seuls clients autorisés. Surveillez attentivement les journaux de Kafka pour détecter toute activité suspecte liée à la manipulation des configurations. Après la mise à jour, vérifiez la configuration de Kafka pour vous assurer qu'elle est conforme aux politiques de sécurité de votre organisation.