Odebrany

CVE-2026-112375

opublikowano: 28.10.2026, 18:17

modyfikacja: 28.10.2026, 18:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Uwierzytelniony podmiot zabezpieczeń Kafka bez uprawnień autoryzacyjnych (nawet ALTER_CONFIGS) może zmusić brokera do odczytania pliku lub zmiennej środowiskowej z hosta brokera i zwrócenia jego zawartości. Żądanie IncreasalAlterConfigs (lub AlterConfigs) skierowane do zasobu BROKERA przechodzi weryfikację konfiguracji brokera, zanim do tej ścieżki zostanie zastosowana jakakolwiek kontrola autoryzacji. Weryfikacja sprawdza zmienne konfiguracyjne, takie jak ${file:/path:key} lub ${env:VAR}, przy użyciu dostawcy ConfigProvider wymienionego w żądaniu, a to rozwiązanie omija listę dozwolonych org.apache.kafka.automatic.config.providers, która została dodana jako środek zaradczy w przypadku CVE-2024-31141. W związku z tym tworzona jest instancja dowolnego dostawcy ConfigProvider (na przykład FileConfigProvider lub EnvVarConfigProvider), odczytywany jest przywoływany plik lub zmienna środowiskowa, a błąd sprawdzania poprawności typu zwraca rozwiązaną treść do obiektu wywołującego.

Wpływ:

W klastrze z włączoną autoryzacją uwierzytelniony podmiot zabezpieczeń bez uprawnień autoryzacyjnych może odczytać zawartość plików dostępnych dla procesu brokera oraz zmienne środowiskowe brokera, ujawniając dane uwierzytelniające, magazyny kluczy i inne sekrety, pokonując listę dozwolonych CVE-2024-31141. Odczyt jest ograniczony uprawnieniami pliku procesu brokera. Brokerzy i klaster pozostają dostępne; problemem jest ujawnienie zawartości plików i zmiennych środowiskowych. W praktyce nie ma to wpływu na klastry bez skonfigurowanej autoryzacji, ponieważ każdy podmiot zabezpieczeń ma już w nich ALTER_CONFIGS.

Łagodzenie:

Uaktualnij do Apache Kafka 4.2.2, 4.3.2 lub 4.4.0. W ramach dogłębnej obrony uruchamiaj brokerów przy użyciu konta w systemie operacyjnym o najniższych uprawnieniach, aby proces brokera nie mógł odczytać wrażliwych plików.

Rozdzielczość:

Od Apache Kafka 4.2.2, 4.3.2 i 4.4.0: zmiany konfiguracji brokera są autoryzowane (ALTER_CONFIGS w klastrze) przed sprawdzeniem konfiguracji, a rozpoznawanie zmiennych konfiguracyjnych wymusza listę dozwolonych dostawców konfiguracji.

An authenticated Kafka principal with no authorization grants (not even ALTER_CONFIGS) can make a broker read a file or an environment variable from the broker host and return its contents. An IncrementalAlterConfigs (or AlterConfigs) request targeting a BROKER resource reaches the broker's configuration validation before any authorization check is applied to that path. Validation resolves configuration variables such as ${file:/path:key} or ${env:VAR} using a ConfigProvider named in the request, and this resolution bypasses the org.apache.kafka.automatic.config.providers allowlist that was added as the mitigation for CVE-2024-31141. An arbitrary ConfigProvider (for example FileConfigProvider or EnvVarConfigProvider) is therefore instantiated and the referenced file or environment variable is read, and a type-validation error returns the resolved content to the caller.

Impact:

On a cluster with an authorizer enabled, an authenticated principal with no authorization grants can read the contents of files accessible to the broker process, and the broker's environment variables, exposing credentials, keystores, or other secrets, defeating the CVE-2024-31141 allowlist. The read is bounded by the broker process's file permissions. The brokers and the cluster remain available; the issue is disclosure of file and environment- variable contents. Clusters with no authorizer configured are not affected in practice, because every principal already holds ALTER_CONFIGS there.

Mitigation:

Upgrade to Apache Kafka 4.2.2, 4.3.2, or 4.4.0. As defense in depth, run brokers under a least-privileged operating-system account so that sensitive files are not readable by the broker process.

Resolution:

From Apache Kafka 4.2.2, 4.3.2, and 4.4.0: broker configuration changes are authorized (ALTER_CONFIGS on the cluster) before the configuration is validated, and configuration- variable resolution enforces the config-providers allowlist.

>_ Słabości (CWE)

CWE-862

>_ Referencje

https://kafka.apache.org/cve-list

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve