CVE-2023-25194

Riepilogo

Una possibile vulnerabilità di sicurezza è stata identificata nell'API Apache Kafka Connect. Questa richiede l'accesso a un worker di Kafka Connect e la capacità di creare/modificare connector su di esso con una configurazione SASL JAAS arbitraria di un client Kafka e un protocollo di sicurezza basato su SASL, cosa possibile sui cluster Kafka Connect dalla versione Apache Kafka Connect 2.3.0. Quando si configura il connector tramite l'API REST di Kafka Connect, un operatore autenticato può impostare la proprietà `sasl.jaas.config` per uno qualsiasi dei client Kafka del connector su "com.sun.security.auth.module.JndiLoginModule", operazione eseguibile tramite le proprietà `producer.override.sasl.jaas.config`, `consumer.override.sasl.jaas.config` o `admin.override.sasl.jaas.config`. Ciò consentirà al server di connettersi al server LDAP dell'attaccante e deserializzare la risposta LDAP, che l'attaccante può utilizzare per eseguire catene di gadget di deserializzazione Java sul server Kafka Connect. L'attaccante può causare una deserializzazione illimitata di dati non attendibili (o) una vulnerabilità RCE quando sono presenti gadget nel classpath. A partire da Apache Kafka 3.0.0, gli utenti possono specificare queste proprietà nelle configurazioni dei connector per i cluster Kafka Connect eseguiti con configurazioni predefinite. Prima di Apache Kafka 3.0.0, gli utenti non potevano specificare queste proprietà a meno che il cluster Kafka Connect non fosse stato riconfigurato con una policy di override del client del connector che le consentisse. A partire da Apache Kafka 3.4.0, abbiamo aggiunto una proprietà di sistema ("-Dorg.apache.kafka.disallowed.login.modules") per disabilitare l'uso dei moduli di login problematici nella configurazione SASL JAAS. Inoltre, per impostazione predefinita, "com.sun.security.auth.module.JndiLoginModule" è disabilitato in Apache Kafka Connect 3.4.0. Consigliamo agli utenti di Kafka Connect di validare le configurazioni dei connector e di consentire solo configurazioni JNDI attendibili. Inoltre, esaminare le dipendenze dei connector per versioni vulnerabili e, come opzioni di rimedio, aggiornare i propri connector, aggiornare quella specifica dipendenza o rimuovere i connector. Infine, oltre all'utilizzo della proprietà di sistema "org.apache.kafka.disallowed.login.modules", gli utenti di Kafka Connect possono anche implementare una propria policy di override della configurazione del client del connector, che può essere utilizzata per controllare quali proprietà del client Kafka possono essere sovrascritte direttamente nella configurazione di un connector e quali no.