CVE-2025-27817

概要

Apache Kafka Client において、任意のファイル読み取りおよび SSRF の潜在的な脆弱性が特定されました。Apache Kafka Clients は、ブローカーとの SASL/OAUTHBEARER 接続を設定するための構成データを受け入れます。これには "sasl.oauthbearer.token.endpoint.url" および "sasl.oauthbearer.jwks.endpoint.url" が含まれます。Apache Kafka は、クライアントが任意のファイルを読み取り、その内容をエラーログに返すこと、または意図しない場所にリクエストを送信することを許可します。Apache Kafka Clients の構成が信頼できない第三者によって指定される可能性があるアプリケーションでは、攻撃者は "sasl.oauthbearer.token.endpoint.url" および "sasl.oauthbearer.jwks.endpoint.url" の構成を利用して、ディスクおよび環境変数の任意の内容を読み取ったり、意図しない場所にリクエストを送信したりする可能性があります。特に、この欠陥は Apache Kafka Connect で使用され、REST API アクセスからファイルシステム/環境変数/URL アクセスへと権限を昇格させるために悪用される可能性があり、これは SaaS 製品を含む特定の環境では望ましくない場合があります。Apache Kafka 3.9.1/4.0.0 以降では、SASL JAAS 構成で許可される URL を設定するためのシステムプロパティ（"-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls"）が追加されました。3.9.1 では、後方互換性のためにデフォルトですべての URL を受け入れます。ただし、4.0.0 以降では、デフォルト値は空のリストであり、ユーザーは許可される URL を明示的に設定する必要があります。

• CVE-2025-27817PoC

  Apache Kafkaクライアントはユーザー入力を厳格に検証・制限していないため、認証されていない攻撃者が悪意のある設定を構築することで、環境変数やディスク上の任意の内容を読み取ったり、意図しない場所にリクエストを送信したりして、REST APIのファイルシステム/環境/URLアクセス権限を昇格させる可能性があります。