CVE-2026-115644
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Apache Kafka Connect zawiera lukę w zabezpieczeniach umożliwiającą obejście uwierzytelniania wpływającą na interfejs API REST administratora, gdy plik admin.listeners jest skonfigurowany z innym odbiornikiem niż właściwość głównych słuchaczy.
Gdy operatorzy izolują administracyjny interfejs API REST poprzez jawną konfigurację właściwości „admin.listeners”, rozszerzenia REST określone za pośrednictwem rest.extension.classes (takie jak BasicAuthSecurityRestExtension) nie są rejestrowane ani stosowane do konfiguracji zasobów administracyjnych.
Podczas gdy główny odbiornik interfejsu API REST (skonfigurowany za pomocą odbiorników) wymusza skonfigurowane filtry uwierzytelniania i autoryzacji, punkty końcowe zamontowane w ramach oddzielnego odbiornika administracyjnego (/admin/loggers) nie dziedziczą ani nie tworzą instancji tych filtrów rozszerzeń. W rezultacie punkt końcowy rejestratora administratora akceptuje nieuwierzytelnione żądania odczytu i zapisu, nawet jeśli na głównym odbiorniku są aktywne rozszerzenia zabezpieczeń.
Wpływ:
Nieuwierzytelniony atakujący mający dostęp sieciowy do słuchacza administracyjnego może:
1. Przeczytaj pełny zestaw nazw i poziomów rejestratorów, ujawniając załadowane nazwy klas i używane rozszerzenia zabezpieczeń.
2. Zapisz poziomy rejestratora, w tym z zakresem=klaster, który propaguje zmianę do wszystkich procesów roboczych w klastrze Connect. Można to wykorzystać do tłumienia
logowanie (ustawiając root na OFF) lub generować nadmierne ilości logów (ustawiając root na TRACE), potencjalnie wpływając na dostępność i obserwowalność.
Łagodzenie:
Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, mogą usunąć konfigurację admin.listeners (lub pozostawić ją nieskonfigurowaną). Jeśli nieskonfigurowane, zasoby administracyjne korzystają ze zwykłego odbiornika i dziedziczą jego rozszerzenia zabezpieczeń.
Rozdzielczość:
Od wersji Apache Kafka 4.2.2, 4.3.2 i 4.4.0 dbamy o to, aby rozszerzenia REST określone za pomocą „rest.extension.classes” miały zastosowanie również do „admin.listeners”.
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org