प्लेटफ़ॉर्म
java
घटक
org.apache.kafka:kafka-clients
में ठीक किया गया
3.5.3
3.6.3
3.7.1
3.7.1
Apache Kafka Clients में विशेषाधिकार वृद्धि की भेद्यता पाई गई है। यह भेद्यता कॉन्फ़िगरेशन डेटा के प्रबंधन में खामी के कारण उत्पन्न होती है, जिससे हमलावर अनधिकृत पहुंच प्राप्त कर सकते हैं। यह भेद्यता Apache Kafka Clients के संस्करण 3.7.0 से कम या उसके बराबर वाले संस्करणों को प्रभावित करती है। इस समस्या को Apache Kafka Clients के संस्करण 3.7.1 में ठीक कर दिया गया है।
यह भेद्यता हमलावरों को Apache Kafka Clients के कॉन्फ़िगरेशन को नियंत्रित करने की अनुमति देती है। कॉन्फ़िगरेशन डेटा को बाहरी स्रोतों से पढ़ने के लिए कॉन्फ़िगर किया गया होने पर, हमलावर FileConfigProvider, DirectoryConfigProvider, या EnvVarConfigProvider जैसे कॉन्फ़िगरेशन प्रदाताओं का उपयोग करके सिस्टम तक अनधिकृत पहुंच प्राप्त कर सकते हैं। इससे संवेदनशील डेटा का खुलासा, सिस्टम का समझौता, या अन्य दुर्भावनापूर्ण गतिविधियाँ हो सकती हैं। इस भेद्यता का उपयोग Kafka क्लस्टर के भीतर विशेषाधिकारों को बढ़ाने के लिए किया जा सकता है, जिससे हमलावर महत्वपूर्ण सिस्टम संसाधनों तक पहुंच प्राप्त कर सकते हैं।
यह भेद्यता अभी तक सक्रिय रूप से शोषण किए जाने की पुष्टि नहीं की गई है, लेकिन सार्वजनिक रूप से उपलब्ध जानकारी के आधार पर इसका शोषण संभव है। इस भेद्यता को CISA KEV सूची में जोड़ा जाना बाकी है। सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) अभी तक नहीं हैं, लेकिन भेद्यता की प्रकृति को देखते हुए, PoC के विकसित होने की संभावना है।
Organizations utilizing Apache Kafka Clients in environments where configuration data is sourced from untrusted parties are at significant risk. This includes cloud deployments where configuration files are stored in shared storage, containerized environments where environment variables are easily manipulated, and systems with legacy configuration management practices. Shared hosting environments where multiple users share the same Kafka instance are particularly vulnerable.
• java / server:
ps -ef | grep Kafka• java / server:
find /opt/kafka /usr/local/kafka -name config.properties -print• java / server:
journalctl -u kafka -f | grep "ConfigProvider"disclosure
एक्सप्लॉइट स्थिति
EPSS
0.11% (30% शतमक)
CVSS वेक्टर
इस भेद्यता को कम करने के लिए, Apache Kafka Clients को संस्करण 3.7.1 या उसके बाद के संस्करण में अपग्रेड करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो कॉन्फ़िगरेशन डेटा को बाहरी स्रोतों से पढ़ने से बचें। कॉन्फ़िगरेशन डेटा को केवल विश्वसनीय स्रोतों से प्राप्त करें और अनधिकृत पहुंच को रोकने के लिए उचित पहुंच नियंत्रण लागू करें। वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके कॉन्फ़िगरेशन डेटा में दुर्भावनापूर्ण इनपुट को फ़िल्टर किया जा सकता है। Kafka क्लस्टर की निगरानी करें और असामान्य गतिविधि के लिए लॉग की जांच करें।
Actualice la biblioteca kafka-clients a la versión 3.8.0 o superior. Adicionalmente, establezca la propiedad del sistema JVM 'org.apache.kafka.automatic.config.providers' a 'none' para deshabilitar los ConfigProviders automáticos. Si utiliza Kafka Connect, configure 'allowlist.pattern' y 'allowed.paths' para restringir el acceso a archivos y variables de entorno.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2024-31141 Apache Kafka Clients में कॉन्फ़िगरेशन डेटा के प्रबंधन में एक भेद्यता है, जिससे हमलावर अनधिकृत पहुंच प्राप्त कर सकते हैं।
यदि आप Apache Kafka Clients के संस्करण 3.7.0 से कम या उसके बराबर संस्करण चला रहे हैं, तो आप प्रभावित हैं।
Apache Kafka Clients को संस्करण 3.7.1 या उसके बाद के संस्करण में अपग्रेड करें।
अभी तक सक्रिय शोषण की पुष्टि नहीं हुई है, लेकिन इसका शोषण संभव है।
Apache Kafka सलाहकार यहां पाया जा सकता है: [Apache Kafka Security Advisories](https://kafka.apache.org/security)
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी pom.xml फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।