PT-2025-24620 · Apache+2 · Apache Kafka+2
Ra1Lgun
·
Publicado
2025-06-09
·
Atualizado
2026-05-27
·
CVE-2025-27818
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do Apache Kafka de 2.0.0 a 3.9.0
Versões do Apache Kafka de 3.0.0 a 3.9.0, onde os usuários têm permissão para especificar propriedades nas configurações de conectores para clusters do Kafka Connect executando com configurações padrão
Versões do Apache Kafka 3.9.1 e 4.0.0, onde uma propriedade do sistema ("-Dorg.apache.kafka.disallowed.login.modules") foi adicionada para desativar o uso de módulos de login problemáticos na configuração SASL JAAS
Descrição
Uma possível vulnerabilidade de segurança foi identificada no Apache Kafka, exigindo acesso para alterConfig no recurso do cluster ou no worker do Kafka Connect, e a capacidade de criar ou modificar conectores com uma configuração SASL JAAS arbitrária do cliente Kafka e um protocolo de segurança baseado em SASL. Esta vulnerabilidade permite que um atacante execute cadeias de gadgets de desserialização Java no servidor do Kafka Connect, potencialmente causando desserialização irrestrita de dados não confiáveis ou uma vulnerabilidade de RCE (Execução Remota de Código) quando houver gadgets no classpath. A propriedade
sasl.jaas.config pode ser definida como "com.sun.security.auth.module.LdapLoginModule" por meio das propriedades producer.override.sasl.jaas.config, consumer.override.sasl.jaas.config ou admin.override.sasl.jaas.config, permitindo que o servidor se conecte ao servidor LDAP do atacante e desserialize a resposta LDAP.Recomendações
Para as versões do Apache Kafka de 2.0.0 a 3.9.0, valide as configurações dos conectores e permita apenas configurações LDAP confiáveis. Examine as dependências dos conectores em busca de versões vulneráveis e atualize os conectores, atualize a dependência específica ou remova os conectores como opções de remediação.
Para as versões do Apache Kafka de 3.0.0 a 3.9.0, implemente uma política de substituição de configuração do cliente do conector para controlar quais propriedades do cliente Kafka podem ser substituídas diretamente em uma configuração de conector e quais não podem.
Para as versões do Apache Kafka 3.9.1 e 4.0.0, utilize a propriedade do sistema "org.apache.kafka.disallowed.login.modules" para desativar o uso de módulos de login problemáticos na configuração SASL JAAS. Além disso, implemente uma política de substituição de configuração do cliente do conector para controlar quais propriedades do cliente Kafka podem ser substituídas diretamente em uma configuração de conector e quais não podem.
Correção
RCE
DoS
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Apache Kafka
Red Os