CVE-2023-25194

ملخص

تم تحديد ثغرة أمنية محتملة في Apache Kafka Connect API. يتطلب ذلك الوصول إلى عامل Kafka Connect (Kafka Connect worker)، والقدرة على إنشاء/تعديل الموصلات (connectors) عليه باستخدام إعداد SASL JAAS تعسفي لعميل Kafka وبروتوكول أمان قائم على SASL، وهو أمر ممكن في مجموعات Kafka Connect منذ الإصدار Apache Kafka Connect 2.3.0. عند تكوين الموصل عبر Kafka Connect REST API، يمكن للمشغّل الموثّق تعيين خاصية `sasl.jaas.config` لأي من عملاء Kafka التابعين للموصل إلى "com.sun.security.auth.module.JndiLoginModule"، ويمكن القيام بذلك عبر الخصائص `producer.override.sasl.jaas.config` أو `consumer.override.sasl.jaas.config` أو `admin.override.sasl.jaas.config`. سيسمح ذلك للخادم بالاتصال بخادم LDAP الخاص بالمهاجم وإلغاء تسلسل (deserialize) استجابة LDAP، والتي يمكن للمهاجم استخدامها لتنفيذ سلاسل أدوات إلغاء التسلسل في Java (java deserialization gadget chains) على خادم Kafka Connect. يمكن للمهاجم التسبب في إلغاء تسلسل غير مقيد لبيانات غير موثوقة (أو) ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) عند وجود أدوات (gadgets) في classpath. منذ Apache Kafka 3.0.0، يُسمح للمستخدمين بتحديد هذه الخصائص في تكوينات الموصلات لمجموعات Kafka Connect التي تعمل بالإعدادات الافتراضية الجاهزة (out-of-the-box). قبل Apache Kafka 3.0.0، لا يجوز للمستخدمين تحديد هذه الخصائص ما لم تتم إعادة تهيئة مجموعة Kafka Connect بسياسة تجاوز لعميل الموصل (connector client override policy) تسمح بها. منذ Apache Kafka 3.4.0، أضفنا خاصية نظام ("-Dorg.apache.kafka.disallowed.login.modules") لتعطيل استخدام وحدات تسجيل الدخول الإشكالية في إعداد SASL JAAS. أيضًا، يتم تعطيل "com.sun.security.auth.module.JndiLoginModule" افتراضيًا في Apache Kafka Connect 3.4.0. ننصح مستخدمي Kafka Connect بالتحقق من تكوينات الموصلات والسماح فقط بتكوينات JNDI الموثوقة. كما يجب فحص تبعيات الموصلات بحثًا عن إصدارات معرضة للخطر، وإما ترقية موصلاتهم، أو ترقية هذا التبعية المحددة، أو إزالة الموصلات كخيارات للمعالجة. أخيرًا، بالإضافة إلى الاستفادة من خاصية النظام "org.apache.kafka.disallowed.login.modules"، يمكن لمستخدمي Kafka Connect أيضًا تنفيذ سياسة تجاوز تكوين عميل الموصل الخاصة بهم، والتي يمكن استخدامها للتحكم في خصائص عميل Kafka التي يمكن تجاوزها مباشرة في تكوين الموصل وتلك التي لا يمكن.

المصادر