CVE-2023-25194

Apache Kafka Connect API-da mümkün təhlükəsizlik boşluğu aşkar edilmişdir. Bu, Kafka Connect işçisinə (worker) giriş və ixtiyari Kafka client SASL JAAS konfiqurasiyası ilə həmçinin SASL əsaslı təhlükəsizlik protokolu vasitəsilə orada konnektorlar yaratmaq/dəyişdirmək imkanını tələb edir ki, bu da Apache Kafka Connect 2.3.0 versiyasından etibarən Kafka Connect klasterlərində mümkündür. Konnektoru Kafka Connect REST API vasitəsilə konfiqurasiya edərkən, autentifikasiya olunmuş operator konnektorun istənilən Kafka client-i üçün `sasl.jaas.config` xüsusiyyətini `producer.override.sasl.jaas.config`, `consumer.override.sasl.jaas.config` və ya `admin.override.sasl.jaas.config` xüsusiyyətləri vasitəsilə "com.sun.security.auth.module.JndiLoginModule" olaraq təyin edə bilər. Bu, serverin hücumçunun LDAP serverinə qoşulmasına və LDAP cavabının deserializasiyasına imkan verəcəkdir ki, hücumçu da bundan Kafka connect serverində java deserializasiya gadget zəncirlərini icra etmək üçün istifadə edə bilər. Hücumçu, classpath-də gadget-lar olduqda, etibarsız məlumatların məhdudiyyətsiz deserializasiyasına səbəb ola bilər (və ya) uzaqdan kodun icrası (RCE) boşluğundan istifadə edə bilər. Apache Kafka 3.0.0 versiyasından etibarən, standart konfiqurasiyalarla işləyən Kafka Connect klasterləri üçün istifadəçilərə konnektor konfiqurasiyalarında bu xüsusiyyətləri təyin etməyə icazə verilir. Apache Kafka 3.0.0-dan əvvəl, istifadəçilər yalnız Kafka Connect klasteri onlara icazə verən konnektor client override siyasəti ilə yenidən konfiqurasiya edildikdə bu xüsusiyyətləri təyin edə bilərdilər. Apache Kafka 3.4.0 versiyasından etibarən, SASL JAAS konfiqurasiyasında problemli login modullarının istifadəsini deaktiv etmək üçün sistem xüsusiyyəti ("-Dorg.apache.kafka.disallowed.login.modules") əlavə edilmişdir. Həmçinin, Apache Kafka Connect 3.4.0-da susmaya görə "com.sun.security.auth.module.JndiLoginModule" deaktiv edilmişdir. Kafka Connect istifadəçilərinə konnektor konfiqurasiyalarını yoxlamağı və yalnız etibarlı JNDI konfiqurasiyalarına icazə verməyi tövsiyə edirik. Həmçinin, həll variantı kimi konnektor asılılıqlarını zəif versiyalar üçün araşdırın və ya konnektorları yeniləyin, həmin konkret asılılığı yeniləyin və ya konnektorları silin. Nəhayət, "org.apache.kafka.disallowed.login.modules" sistem xüsusiyyətindən istifadə etməklə yanaşı, Kafka Connect istifadəçiləri öz konnektor client config override siyasətlərini də tətbiq edə bilərlər ki, bu da hansı Kafka client xüsusiyyətlərinin birbaşa konnektor konfiqurasiyasında dəyişdirilə biləcəyini və hansılarının dəyişdirilə bilməyəcəyini idarə etmək üçün istifadə edilə bilər.