CVE-2023-25194

Resumo

Uma possível vulnerabilidade de segurança foi identificada na API do Apache Kafka Connect. Isso requer acesso a um worker do Kafka Connect e a capacidade de criar/modificar conectores nele com uma configuração SASL JAAS arbitrária de cliente Kafka e um protocolo de segurança baseado em SASL, o que tem sido possível em clusters Kafka Connect desde o Apache Kafka Connect 2.3.0. Ao configurar o conector por meio da API REST do Kafka Connect, um operador autenticado pode definir a propriedade `sasl.jaas.config` para qualquer um dos clientes Kafka do conector como "com.sun.security.auth.module.JndiLoginModule", o que pode ser feito por meio das propriedades `producer.override.sasl.jaas.config`, `consumer.override.sasl.jaas.config` ou `admin.override.sasl.jaas.config`. Isso permitirá que o servidor se conecte ao servidor LDAP do atacante e desserialize a resposta LDAP, que o atacante pode usar para executar cadeias de gadgets de desserialização Java no servidor Kafka Connect. O atacante pode causar desserialização irrestrita de dados não confiáveis (ou) vulnerabilidade de RCE quando há gadgets no classpath. Desde o Apache Kafka 3.0.0, os usuários podem especificar essas propriedades nas configurações de conectores para clusters Kafka Connect executados com configurações padrão. Antes do Apache Kafka 3.0.0, os usuários não podem especificar essas propriedades, a menos que o cluster Kafka Connect tenha sido reconfigurado com uma política de substituição (override) de cliente de conector que as permita. Desde o Apache Kafka 3.4.0, adicionamos uma propriedade de sistema ("-Dorg.apache.kafka.disallowed.login.modules") para desabilitar o uso problemático de módulos de login na configuração SASL JAAS. Além disso, por padrão, "com.sun.security.auth.module.JndiLoginModule" está desabilitado no Apache Kafka Connect 3.4.0. Aconselhamos os usuários do Kafka Connect a validar as configurações dos conectores e permitir apenas configurações JNDI confiáveis. Examine também as dependências dos conectores em busca de versões vulneráveis e, como opções de remediação, atualize os conectores, atualize essa dependência específica ou remova os conectores. Por fim, além de utilizar a propriedade de sistema "org.apache.kafka.disallowed.login.modules", os usuários do Kafka Connect também podem implementar sua própria política de substituição de configuração do cliente de conector, que pode ser usada para controlar quais propriedades do cliente Kafka podem ser substituídas diretamente na configuração de um conector e quais não podem.

Fontes