Apache Kafka Clients: 通过自动 ConfigProvider 实现文件系统读权限提升

攻击者可以利用此漏洞通过配置提供程序读取敏感信息，例如密码、API 密钥或内部网络地址。通过读取这些信息，攻击者可以获得对 Kafka 集群的未经授权的访问权限，并可能执行恶意操作，例如窃取数据、篡改数据或拒绝服务。更严重的场景下，攻击者可能利用这些权限进行横向移动，攻击整个网络。由于 Kafka 在许多组织中被用作关键数据流中心，因此该漏洞的潜在影响非常大。

Organizations utilizing Apache Kafka Clients in environments where configuration data is sourced from untrusted parties are at significant risk. This includes cloud deployments where configuration files are stored in shared storage, containerized environments where environment variables are easily manipulated, and systems with legacy configuration management practices. Shared hosting environments where multiple users share the same Kafka instance are particularly vulnerable.

• java / server:

ps -ef | grep Kafka

• java / server:

find /opt/kafka /usr/local/kafka -name config.properties -print

• java / server:

journalctl -u kafka -f | grep "ConfigProvider"

1. 2024-11-19Disclosure

   disclosure

1. 已保留2024-03-28
2. 发布日期2024-11-19
3. 修改日期2026-02-04
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到 Apache Kafka Clients 3.7.1 或更高版本。如果无法立即升级，可以考虑限制 ConfigProvider 的访问权限，只允许可信方访问配置数据。此外，可以实施 WAF 或代理规则，以阻止对配置文件的恶意访问尝试。监控 Kafka 日志，查找任何异常的配置读取活动，并使用 Sigma 或 YARA 规则来检测潜在的攻击。