PT-2026-45725 · Apache · Apache Kafka

Luke Chen · Publicado 2026-06-02 · Atualizado 2026-06-05 · CVE-2026-41115

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Kafka (versões afetadas não especificadas)

Descrição Um problema de autorização inadequada existe na API 'CONSUMER GROUP DESCRIBE' (69). A implementação valida a operação DESCRIBE no recurso GROUP, o que contradiz a operação READ especificada na documentação oficial e no KIP-848. Essa discrepância pode levar a Listas de Controle de Acesso (ACLs) mal configuradas, potencialmente concedendo permissões de READ a usuários não autorizados ou permitindo que usuários apenas com permissões de DESCRIBE acessem metadados sensíveis do grupo.

Recomendações Revisar as ACLs de grupo existentes para garantir que o princípio do privilégio mínimo seja mantido.

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

BIT-KAFKA-2026-41115

CVE-2026-41115

Produtos afetados

Apache Kafka

Referências · 7

• https://kafka.apache.org/cve-list · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41115 · Nota de Segurança
• https://twitter.com/vuldb/status/2062027303467851972 · Publicação no Twitter
• https://t.me/CVEtracker/55591 · Publicação no Telegram
• https://twitter.com/autumn_good_35/status/2061832099737620584 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2026/06/02/5 · Nota
• https://osv.dev/vulnerability/BIT-kafka-2026-41115 · Aviso do Fabricante