CVE-2026-33557
Apache Kafka: OAUTHBEARER認証におけるJWTトークン検証の欠如
- 公開済み
- 2026/04/20
- 更新済み
- 2026/07/15
- CNA の割り当て
- apache
- 観察された証拠
- 2026/08/30
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N低 · 今後 30 日間
- パーセンタイル
- 50.7%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
Apache Kafka において、潜在的なセキュリティ脆弱性が特定されました。デフォルトでは、ブローカーのプロパティ `sasl.oauthbearer.jwt.validator.class` は `org.apache.kafka.common.security.oauthbearer.DefaultJwtValidator` に設定されています。これは、署名、発行者、またはオーディエンスを検証せずに、任意の JWT トークンを受け入れます。攻撃者は、`preferred_username` を任意のユーザーに設定した JWT トークンを任意の発行者から生成でき、ブローカーはそれを受け入れます。kafka v4.1.0 または v4.1.1 を使用している Kafka ユーザーには、この脆弱性を回避するために、設定 `sasl.oauthbearer.jwt.validator.class` を明示的に `org.apache.kafka.common.security.oauthbearer.BrokerJwtValidator` に設定することをお勧めします。Kafka v4.1.2 および v4.2.0 以降では、この問題は修正されており、JWT トークンが正しく検証されます。
ソース
1CVEの概念実証ラボ、エクスプロイトスクリプト、および高深刻度CVE向けの検出・防止ルール（Nginx、Apache、Snort、YARA）。認可されたセキュリティテストおよび研究のみを対象としています。
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。