Apache Kafka Clients: Privilege escalatie naar bestandssysteem leesrechten via automatische ConfigProvider

Deze kwetsbaarheid ontstaat doordat Apache Kafka Clients configuratiegegevens accepteren, waaronder ConfigProvider-plugins. Implementaties zoals FileConfigProvider, DirectoryConfigProvider en EnvVarConfigProvider lezen configuratiegegevens van schijf of omgevingvariabelen. Als een onbetrouwbare partij configuratiegegevens kan aanleveren, kunnen aanvallers deze ConfigProviders misbruiken om ongeautoriseerde wijzigingen aan te brengen in de Kafka-configuratie. Dit kan leiden tot het compromitteren van de Kafka-cluster, het verkrijgen van ongeautoriseerde toegang tot data en het uitvoeren van kwaadaardige acties. De impact is aanzienlijk, met name in omgevingen waar Kafka wordt gebruikt voor kritieke dataverwerking en -transmissie.

Organizations utilizing Apache Kafka Clients in environments where configuration data is sourced from untrusted parties are at significant risk. This includes cloud deployments where configuration files are stored in shared storage, containerized environments where environment variables are easily manipulated, and systems with legacy configuration management practices. Shared hosting environments where multiple users share the same Kafka instance are particularly vulnerable.

• java / server:

ps -ef | grep Kafka

• java / server:

find /opt/kafka /usr/local/kafka -name config.properties -print

• java / server:

journalctl -u kafka -f | grep "ConfigProvider"

1. 2024-11-19Disclosure

   disclosure

1. Gereserveerd2024-03-28
2. Gepubliceerd2024-11-19
3. Gewijzigd2026-02-04
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar Apache Kafka Clients versie 3.7.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het beperken van de bronnen waaruit configuratiegegevens kunnen worden gelezen. Beperk de toegang tot configuratiebestanden en omgevingvariabelen tot vertrouwde bronnen. Implementeer een Web Application Firewall (WAF) of proxy om verdachte configuratieverzoeken te blokkeren. Controleer de Kafka-configuratie op ongebruikelijke wijzigingen en implementeer monitoring om verdachte activiteiten te detecteren. Na de upgrade, verifieer de correcte werking van het Kafka-cluster en controleer de configuratiebestanden op ongewenste wijzigingen.