Leitura Arbitrária de Arquivos no conector Google BigQuery Sink

Um atacante pode explorar essa vulnerabilidade fornecendo um arquivo de credenciais malicioso durante a configuração do conector. O conector, sem validar adequadamente o conteúdo do arquivo, passará as credenciais para as bibliotecas de autenticação do Google, permitindo o acesso não autorizado a arquivos no sistema de arquivos subjacente. O impacto pode variar dependendo das permissões do usuário do conector, mas potencialmente pode levar à exposição de informações confidenciais armazenadas em arquivos acessíveis. A ausência de validação de entrada torna a exploração relativamente simples, especialmente em ambientes onde a configuração do conector é controlada por fontes externas.

Organizations utilizing the Aiven Google BigQuery Kafka Connect Sink connector, particularly those with automated deployment pipelines or shared hosting environments, are at heightened risk. Systems relying on the connector for critical data ingestion processes should be prioritized for patching.

• linux / server:

find /opt/kafka/connectors/ -name 'aiven-bigquery-sink-connector.jar' -print0 | xargs -0 grep -i 'credential.json'

• generic web:

curl -I <connector_endpoint> | grep -i 'credential.json'

1. 2026-01-16Disclosure

   disclosure

1. Reservado2026-01-13
2. Publicada2026-01-16
3. EPSS atualizado2026-03-23

A mitigação primária é atualizar o Google BigQuery Sink Connector para a versão 2.11.0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, implemente controles de acesso rigorosos aos arquivos de credenciais, restringindo o acesso apenas a usuários autorizados. Considere o uso de um proxy reverso ou WAF para inspecionar e bloquear solicitações maliciosas. Monitore os logs do conector em busca de atividades suspeitas, como tentativas de acesso a arquivos inesperados.