Odebrany

CVE-2026-110952

opublikowano: 28.10.2026, 18:17

modyfikacja: 28.10.2026, 18:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Broker Kafka, który uwierzytelnia klientów za pomocą SASL/OAUTHBEARER przy użyciu dołączonego walidatora wspieranego przez JWKS, zawsze weryfikuje podpis JWT, ale dwie dalsze kontrole są wykonywane tylko po jawnej konfiguracji:

- Roszczenie wystawcy (iss) jest weryfikowane tylko wtedy, gdy ustawiono sasl.oauthbearer.expected.issuer. Gdy jest rozbrojony, ważnie podpisany token niosący oczekiwaną publiczność jest akceptowany niezależnie od tego, który emitent go wybił.
- Zastrzeżenie odbiorców (aud) jest wymagane tylko wtedy, gdy ustawiono sasl.oauthbearer.expected.audience. Gdy nie jest ustawiona, akceptowany jest prawidłowo podpisany token, który pomija żądanie aud. (Token niosący oświadczenie aud to
nadal odrzucane, jeśli nie skonfigurowano żadnych oczekiwanych odbiorców.)

Obie opcje są domyślnie wyłączone i zostały udokumentowane jako opcjonalne (Ważność NISKA) od wersji KIP-768 (3.1.0).

Wpływ:
Ekspozycja jest możliwa głównie we wdrożeniach, których punkt końcowy JWKS obsługuje klucze podpisywania dla więcej niż jednego wystawcy (dostawca tożsamości z wieloma dzierżawcami, zagregowany/współdzielony JWKS lub wspólne klucze podpisywania): token
wybity dla innego emitenta lub token pozbawiony odbiorców, może zostać zaakceptowany do uwierzytelnienia – potencjalnie jako podmiot o wyższym uprzywilejowaniu. W przypadku wdrożenia z jednym wystawcą, w którym dostawca kontroluje plik is
zgłasza roszczenia i wydaje tokeny ograniczone do odbiorców, ekspozycja jest ograniczona. Kotwica zaufania podpisu pozostaje egzekwowana we wszystkich przypadkach. Różni się to od CVE-2026-33557 (akceptacja niepodpisanych/niezatwierdzonych tokenów); tutaj
podpis jest sprawdzany i domyślnie nie są wymuszane jedynie kontrole wydawcy/odbiorcy.

Środki zaradcze (wszystkie wersje, których dotyczy problem, aktualizacja nie jest wymagana):
Ustaw zarówno sasl.oauthbearer.expected.issuer (dokładna wartość iss Twojego dostawcy), jak i sasl.oauthbearer.expected.audience (do odbiorców, których oczekują Twoi brokerzy) na słuchacza. Brokerzy, którzy je ustawili, działają
dokładnego dopasowania są sprawdzane przez wydawcę/odbiorców i nie ma to na nie wpływu. Obydwa są dostępne od wersji 3.1.0.

Rozdzielczość:
- Od wersji Apache Kafka 4.4.0: broker skonfigurowany z punktem końcowym JWKS nie uruchamia się, chyba że ustawione są oba sasl.oauthbearer.expected.issuer i sasl.oauthbearer.expected.audience (domyślnie bezpieczne). Wdrożenia, które
celowo nie ograniczaj emitenta i/lub odbiorcy mogą zrezygnować dla każdej osi z sasl.oauthbearer.allow.unverified.issuer=true i/lub sasl.oauthbearer.allow.unverified.audience=true.

A Kafka broker that authenticates clients with SASL/OAUTHBEARER using the bundled JWKS-backed validator always verifies the JWT signature, but two further checks are only performed when explicitly configured:

- The issuer (iss) claim is verified only when sasl.oauthbearer.expected.issuer is set. When it is unset, a validly-signed token carrying the expected audience is accepted regardless of which issuer minted it.
- An audience (aud) claim is required only when sasl.oauthbearer.expected.audience is set. When it is unset, a validly-signed token that omits the aud claim is accepted. (A token that carries an aud claim is
still rejected when no expected audience is configured.)

Both options default to unset and have been documented as optional (Importance LOW) since KIP-768 (3.1.0).

Impact:
The exposure is realizable mainly in deployments whose JWKS endpoint serves signing keys for more than one issuer (a multi-tenant identity provider, an aggregated/shared JWKS, or shared signing keys): a token
minted for a different issuer, or a token lacking an audience, may be accepted to authenticate — potentially as a higher-privileged principal. In a single-issuer deployment where the provider controls the iss
claim and issues audience-scoped tokens, exposure is limited. The signature trust anchor remains enforced in all cases. This is distinct from CVE-2026-33557 (acceptance of unsigned/unvalidated tokens); here the
signature is validated and only the issuer/audience checks are not enforced by default.

Mitigation (all affected versions, no upgrade required):
Set both sasl.oauthbearer.expected.issuer (to your provider's exact iss value) and sasl.oauthbearer.expected.audience (to the audience(s) your brokers expect), per listener. Brokers that set these perform
exact-match issuer/audience checks and are not affected. Both have been available since 3.1.0.

Resolution:
- From Apache Kafka 4.4.0: a broker configured with a JWKS endpoint fails to start unless both sasl.oauthbearer.expected.issuer and sasl.oauthbearer.expected.audience are set (secure by default). Deployments that
intentionally do not restrict the issuer and/or audience may opt out per axis with sasl.oauthbearer.allow.unverified.issuer=true and/or sasl.oauthbearer.allow.unverified.audience=true.

>_ Słabości (CWE)

CWE-345 CWE-1188

>_ Referencje

https://kafka.apache.org/cve-list

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve