CVE-2024-32030

요약

Kafka UI는 Apache Kafka 관리를 위한 오픈소스 웹 UI입니다. Kafka UI API를 통해 사용자는 네트워크 주소와 포트를 지정하여 다양한 Kafka 브로커에 연결할 수 있습니다. 별도의 기능으로, JMX 포트에 연결하여 Kafka 브로커의 성능을 모니터링하는 기능도 제공합니다. JMX는 RMI 프로토콜을 기반으로 하므로 본질적으로 역직렬화 공격에 취약합니다. 잠재적인 공격자는 Kafka UI 백엔드를 자신의 악성 브로커에 연결하여 이 기능을 악용할 수 있습니다. 이 취약점은 다음 중 하나가 발생하는 배포 환경에 영향을 미칩니다: 1. `dynamic.config.enabled` 속성이 settings에 설정된 경우. 기본적으로 활성화되어 있지 않지만, Kafka UI의 자체 README.md를 포함한 많은 튜토리얼에서 활성화를 권장합니다. 또는 2. 공격자가 Kafka UI에 연결되는 Kafka 클러스터에 접근 권한을 가진 경우. 이 시나리오에서 공격자는 이 취약점을 악용하여 접근 범위를 확장하고 Kafka UI에서도 코드를 실행할 수 있습니다. 공격자는 합법적인 JMX 포트를 설정하는 대신, 모든 RMI 호출에 대해 악성 직렬화 객체를 반환하는 RMI 리스너를 생성할 수 있습니다. 최악의 경우 Kafka UI의 클래스패스에 필요한 gadget chain이 존재하므로 원격 코드 실행으로 이어질 수 있습니다. 이 문제는 인증 후 원격 코드 실행으로 이어질 수 있습니다. Kafka UI는 기본적으로 인증이 활성화되어 있지 않기 때문에 특히 위험합니다. 이 문제는 버전 0.7.2에서 해결되었습니다. 모든 사용자는 업그레이드할 것을 권장합니다. 이 취약점에 대한 알려진 해결 방법은 없습니다. 이러한 문제는 GitHub Security lab에 의해 발견 및 보고되었으며 GHSL-2023-230으로도 추적됩니다.

• CVE-2024-32030-Nuclei-Template탐지

  악성 서버 연결을 통해 CVE-2024-32030 JMX JNDI 원격 코드 실행 취약점을 탐지하기 위한 Nuclei 템플릿