Google BigQuery Sink connector 中的任意文件读取漏洞

此漏洞允许攻击者通过配置未经验证的凭据文件来读取系统上的任意文件。攻击者可以利用此漏洞访问敏感数据，例如配置文件、密钥文件或包含用户信息的数据库文件。如果攻击者能够读取包含数据库连接字符串的文件，他们可能能够访问 BigQuery 数据库，并进一步执行恶意操作。由于 BigQuery 经常用于存储关键业务数据，因此此漏洞的影响范围可能非常广泛，可能导致数据泄露、业务中断和声誉损失。该漏洞的利用方式类似于其他文件访问漏洞，攻击者可能通过构造恶意的配置信息来触发漏洞。

Organizations utilizing the Aiven Google BigQuery Kafka Connect Sink connector, particularly those with automated deployment pipelines or shared hosting environments, are at heightened risk. Systems relying on the connector for critical data ingestion processes should be prioritized for patching.

• linux / server:

find /opt/kafka/connectors/ -name 'aiven-bigquery-sink-connector.jar' -print0 | xargs -0 grep -i 'credential.json'

• generic web:

curl -I <connector_endpoint> | grep -i 'credential.json'

1. 2026-01-16Disclosure

   disclosure

1. 已保留2026-01-13
2. 发布日期2026-01-16
3. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Google BigQuery Sink connector 升级到 2.11.0 或更高版本。如果升级会导致系统中断，可以考虑回滚到之前的稳定版本，但请注意，这只是一个临时解决方案。在升级之前，请务必备份配置和数据。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，并限制对连接器的访问。配置 WAF 规则以阻止包含可疑字符或模式的凭据文件上传。在升级后，请验证连接器是否正常工作，并检查系统日志中是否存在异常活动。