PT-2026-33633 · Apache+1 · Apache Kafka+1

Bzimport · CVE-2026-33557 · Publicado 2026-04-17 · Atualizado 2026-07-13

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Kafka versões 4.1.0 até 4.1.1

Description Existe uma falha de bypass de autenticação porque a propriedade padrão do broker sasl.oauthbearer.jwt.validator.class está configurada como org.apache.kafka.common.security.oauthbearer.DefaultJwtValidator. Esta classe não valida assinaturas, emissores ou audiências de JSON Web Tokens (JWT). Um invasor remoto pode explorar isso criando um token JWT malicioso com um preferred username arbitrário para personificar qualquer usuário e obter acesso não autorizado ao broker Kafka. Aproximadamente 9.000 instâncias foram identificadas globalmente.

Recommendations Para as versões 4.1.0 até 4.1.1, configure explicitamente a configuração sasl.oauthbearer.jwt.validator.class para org.apache.kafka.common.security.oauthbearer.BrokerJwtValidator. Atualize para a versão 4.1.2 ou 4.2.0 e posteriores.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-303

CWE-1285

Identificadores relacionados

BDU:2026-09403

BIT-KAFKA-2026-33557

CVE-2026-33557

GHSA-28JG-CGG7-J4WC

Produtos afetados

Apache Kafka

Red Os

Referências · 27

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/33xxx/CVE-2026-33557.json · Exploit
• https://github.com/apache/kafka/commit/01d8e7db8d08dbd538892b409457ea6bfcc2a422 · Nota
• https://github.com/apache/kafka · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33557 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2026-33557 · Nota de Segurança
• https://lists.apache.org/thread/v57o00hm6yszdpdnvqx2ss4561yh953h · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-33557 · Aviso do Fabricante
• https://github.com/advisories/GHSA-28jg-cgg7-j4wc · Nota
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-33557.json · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-apache-kafka-cve-2026-33557-7.3 · Nota
• https://twitter.com/oss_security/status/2045901549587575262 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-33557 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-28jg-cgg7-j4wc · Aviso do Fabricante
• https://twitter.com/zoomeye_team/status/2076565559446303185 · Publicação no Twitter
• https://twitter.com/CCBalert/status/2046586366511726834 · Publicação no Twitter