CVE-2024-32030

Resumo

Kafka UI é uma Interface Web de Código Aberto para Gerenciamento do Apache Kafka. A API do Kafka UI permite que usuários se conectem a diferentes brokers Kafka especificando seu endereço de rede e porta. Como um recurso separado, também oferece a capacidade de monitorar o desempenho dos brokers Kafka conectando-se às suas portas JMX. JMX é baseado no protocolo RMI, portanto é inerentemente suscetível a ataques de desserialização. Um atacante em potencial pode explorar esse recurso conectando o backend do Kafka UI ao seu próprio broker malicioso. Essa vulnerabilidade afeta as implantações onde uma das seguintes condições ocorre: 1. a propriedade dynamic.config.enabled está definida nas configurações. Ela não está habilitada por padrão, mas é sugerida para ser habilitada em muitos tutoriais do Kafka UI, incluindo o próprio README.md. OU 2. um atacante tem acesso ao cluster Kafka que está sendo conectado ao Kafka UI. Nesse cenário, o atacante pode explorar essa vulnerabilidade para expandir seu acesso e executar código no Kafka UI também. Em vez de configurar uma porta JMX legítima, um atacante pode criar um listener RMI que retorna um objeto serializado malicioso para qualquer chamada RMI. No pior caso, isso pode levar à execução remota de código, pois o Kafka UI possui as cadeias de gadgets necessárias em seu classpath. Esse problema pode levar à execução remota de código pós-autenticação. Isso é particularmente perigoso, pois o Kafka-UI não possui autenticação habilitada por padrão. Esse problema foi corrigido na versão 0.7.2. Todos os usuários são aconselhados a atualizar. Não há soluções alternativas conhecidas para essa vulnerabilidade. Esses problemas foram descobertos e relatados pelo GitHub Security Lab e também são rastreados como GHSL-2023-230.

• CVE-2024-32030-Nuclei-TemplateDetecção

  Modelo Nuclei para detectar a vulnerabilidade de execução remota de código JMX JNDI CVE-2024-32030 via conexão a servidor malicioso.