CVE-2026-110985
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Broker Kafka korzystający z SASL/OAUTHBEARER z domyślnym walidatorem (sasl.oauthbearer.jwt.validator.class=DefaultJwtValidator) wybiera swoją implementację z konfiguracji. Jeśli ustawiono sasl.oauthbearer.jwks.endpoint.url, moduł sprawdzania poprawności weryfikuje podpis JWT. Gdy ten adres URL jest nieskonfigurowany (ustawienie domyślne) i nie podano narzędzia rozpoznawania klucza weryfikacyjnego, DefaultJwtValidator po cichu powraca do ClientJwtValidator, który nie weryfikuje podpisu, algorytmu ani wystawcy JWT, a broker uruchamia się bez ostrzeżenia ani błędu. Jest to pozostałość po CVE-2026-33557, którego poprawka przywróciła weryfikację podpisu tylko w ścieżce, w której ustawiony jest adres URL punktu końcowego JWKS.
Wpływ:
Broker w tym stanie akceptuje każdy strukturalnie poprawny token JWT, w tym tokeny „alg”: „none”. Nieuwierzytelniony zdalny atakujący, który może dotrzeć do słuchacza, może sfałszować token potwierdzający dowolnego głównego użytkownika – w tym skonfigurowanych superużytkowników – i uzyskać pełny dostęp do klastra. Dotyczy to tylko brokerów, którzy umożliwiają weryfikację SASL/OAUTHBEARER bez adresu URL punktu końcowego JWKS (i bez niestandardowego mechanizmu rozpoznawania kluczy weryfikacyjnych). brokerzy, którzy ustawiają adres URL, weryfikują podpisy i nie ma to na to wpływu. W przeciwieństwie do CVE-2026-110952 (wystawca/odbiorca nie jest domyślnie wymuszany), tutaj żaden podpis nie jest w ogóle weryfikowany.
Środki zaradcze (wszystkie wersje, których dotyczy problem, aktualizacja nie jest wymagana):
Ustaw sasl.oauthbearer.jwks.endpoint.url dla każdego słuchacza/mechanizmu korzystającego z OAuthBearerValidatorCallbackHandler lub skonfiguruj sasl.oauthbearer.jwt.validator.class weryfikujący podpis.
Rozdzielczość:
Od Apache Kafka 4.2.2, 4.3.1 i 4.4.0: broker, który korzystałby z nieweryfikującego ClientJwtValidator, nie uruchamia się z wyjątkiem ConfigException, zamiast działać bez weryfikacji podpisu (domyślnie bezpieczny).
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org