CVE-2025-27817

总结

已在 Apache Kafka Client 中发现一个可能的任意文件读取和 SSRF 漏洞。Apache Kafka Clients 接受用于配置与 broker 之间 SASL/OAUTHBEARER 连接的配置数据，包括 "sasl.oauthbearer.token.endpoint.url" 和 "sasl.oauthbearer.jwks.endpoint.url"。Apache Kafka 允许客户端读取任意文件并将内容返回到错误日志中，或将请求发送到非预期位置。在 Apache Kafka Clients 配置可由不受信任方指定的应用程序中，攻击者可能利用 "sasl.oauthbearer.token.endpoint.url" 和 "sasl.oauthbearer.jwks.endpoint.url" 配置读取磁盘和环境变量的任意内容，或向非预期位置发起请求。特别是，此缺陷可能被用于 Apache Kafka Connect，将 REST API 访问升级为文件系统/环境/URL 访问，这在某些环境（包括 SaaS 产品）中可能是不希望出现的。自 Apache Kafka 3.9.1/4.0.0 起，我们添加了一个系统属性（"-Dorg.apache.kafka.sasl.oauthbearer.allowed.urls"）来设置 SASL JAAS 配置中允许的 URL。在 3.9.1 中，出于向后兼容性，默认接受所有 URL。但在 4.0.0 及更新版本中，默认值为空列表，用户必须显式设置允许的 URL。

• CVE-2025-27817PoC

  Apache Kafka客户端未对用户输入进行严格验证和限制，未经身份验证的攻击者可通过构造恶意配置读取环境变量或磁盘任意内容，或向非预期位置发送请求，提升REST API的文件系统/环境/URL访问权限。