Apache Kafka Clients: Escalada de privilégios para acesso de leitura ao sistema de arquivos via ConfigProvider automático

Um atacante pode explorar essa vulnerabilidade fornecendo configurações maliciosas através de ConfigProviders acessíveis a fontes externas. Isso pode levar à modificação do comportamento do Kafka, permitindo a execução de código não autorizado ou o acesso a dados sensíveis. A exploração bem-sucedida pode resultar em comprometimento total do cluster Kafka, permitindo que o atacante controle o fluxo de dados e execute ações arbitrárias. A vulnerabilidade se torna particularmente perigosa em ambientes onde as configurações do Kafka são gerenciadas por scripts ou ferramentas automatizadas que podem ser comprometidas.

Organizations utilizing Apache Kafka Clients in environments where configuration data is sourced from untrusted parties are at significant risk. This includes cloud deployments where configuration files are stored in shared storage, containerized environments where environment variables are easily manipulated, and systems with legacy configuration management practices. Shared hosting environments where multiple users share the same Kafka instance are particularly vulnerable.

• java / server:

ps -ef | grep Kafka

• java / server:

find /opt/kafka /usr/local/kafka -name config.properties -print

• java / server:

journalctl -u kafka -f | grep "ConfigProvider"

1. 2024-11-19Disclosure

   disclosure

1. Reservado2024-03-28
2. Publicada2024-11-19
3. Modificada2026-02-04
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o Apache Kafka Clients para a versão 3.7.1 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere restringir o acesso aos ConfigProviders que leem de fontes externas não confiáveis. Implemente controles de acesso rigorosos para garantir que apenas usuários autorizados possam modificar as configurações do Kafka. Monitore os logs do Kafka em busca de atividades suspeitas, como tentativas de modificar as configurações do sistema. Após a atualização, confirme a correção verificando a versão do Kafka Clients e revisando as configurações para garantir que não foram modificadas.