CVE-2023-25194

Резюме

В Apache Kafka Connect API выявлена возможная уязвимость безопасности. Для этого требуется доступ к воркеру Kafka Connect и возможность создавать/изменять коннекторы на нём с произвольной конфигурацией SASL JAAS Kafka-клиента и протоколом безопасности на основе SASL, что было возможно в кластерах Kafka Connect начиная с Apache Kafka Connect 2.3.0. При настройке коннектора через Kafka Connect REST API аутентифицированный оператор может установить свойство `sasl.jaas.config` для любого из Kafka-клиентов коннектора в значение "com.sun.security.auth.module.JndiLoginModule", что можно сделать через свойства `producer.override.sasl.jaas.config`, `consumer.override.sasl.jaas.config` или `admin.override.sasl.jaas.config`. Это позволит серверу подключиться к LDAP-серверу атакующего и десериализовать LDAP-ответ, который атакующий может использовать для выполнения гаджет-цепочек java-десериализации на сервере Kafka Connect. Атакующий может вызвать неограниченную десериализацию недоверенных данных (или) RCE-уязвимость, если в classpath есть гаджеты. Начиная с Apache Kafka 3.0.0 пользователям разрешено указывать эти свойства в конфигурациях коннекторов для кластеров Kafka Connect, работающих с конфигурациями по умолчанию. До Apache Kafka 3.0.0 пользователи не могли указывать эти свойства, если только кластер Kafka Connect не был перенастроен с политикой переопределения клиентских конфигураций коннектора, которая разрешает их. Начиная с Apache Kafka 3.4.0 мы добавили системное свойство ("-Dorg.apache.kafka.disallowed.login.modules") для отключения использования проблемных модулей входа (login modules) в конфигурации SASL JAAS. Кроме того, по умолчанию "com.sun.security.auth.module.JndiLoginModule" отключён в Apache Kafka Connect 3.4.0. Мы рекомендуем пользователям Kafka Connect проверять конфигурации коннекторов и разрешать только доверенные конфигурации JNID. Также проверяйте зависимости коннекторов на предмет уязвимых версий и в качестве мер по устранению уязвимости либо обновляйте коннекторы, обновляя эту конкретную зависимость, либо удаляйте коннекторы. Наконец, в дополнение к использованию системного свойства "org.apache.kafka.disallowed.login.modules" пользователи Kafka Connect могут также реализовать собственную политику переопределения конфигурации клиента коннектора, которую можно использовать для контроля того, какие свойства Kafka-клиента могут быть переопределены напрямую в конфигурации коннектора, а какие нет.

Источники