CVE-2024-56128

Apache Kafka-nın SCRAM tətbiqində autentifikasiya alqoritminin yanlış tətbiqi. Problemin Xülasəsi: Apache Kafka-nın Duzlanmış Çağırış Cavab Autentifikasiya Mexanizminin (SCRAM) tətbiqi RFC 5802 [1] tələblərinə tam uyğun gəlmir. Xüsusilə, RFC 5802-yə əsasən, server müştəri tərəfindən ikinci mesajda göndərilən nonce-un server tərəfindən birinci mesajda göndərilən nonce ilə üst-üstə düşdüyünü yoxlamalıdır. Lakin Kafka-nın SCRAM tətbiqi bu validasiyanı həyata keçirmirdi. Təsir: Bu zəiflik yalnız hücum edən şəxs SCRAM autentifikasiya mübadiləsinə açıq mətn formatında giriş əldə etdikdə istismar edilə bilər. Bununla belə, SCRAM-ın açıq mətn üzərindən istifadəsi təhlükəsiz olmayan təcrübə hesab edildiyi üçün qətiyyən tövsiyə edilmir [2]. Apache Kafka, SCRAM mübadilələrini tutulmadan qorumaq üçün SCRAM-ın yalnız TLS şifrələməsi ilə tətbiq edilməsini tövsiyə edir [3]. TLS ilə SCRAM istifadə edən tətbiqlər bu problemdən təsirlənmir. Təsir altında olduğunuzu necə müəyyən etmək olar: Əgər sizin tətbiqiniz açıq mətn kommunikasiya kanalları vasitəsilə (TLS şifrələməsi olmadan) SCRAM autentifikasiyasından istifadə edirsə, böyük ehtimalla təsir altındasınız. TLS-in aktiv olub-olmadığını yoxlamaq üçün server.properties konfiqurasiya faylında listeners xassəsini nəzərdən keçirin. Əgər listeners hissəsində SASL_PLAINTEXT varsa, deməli, böyük ehtimalla təsir altındasınız. Düzəliş Təfərrüatları: RFC 5802 standartına uyğunluğu təmin etmək üçün SCRAM autentifikasiya mübadiləsinin sonuncu mesajında nonce verifikasiyası tətbiq edilərək problem aradan qaldırılmışdır. Təsirə məruz qalan versiyalar: Aşağıdakı düzəldilmiş versiyalar istisna olmaqla, Apache Kafka 0.10.2.0-dan 3.9.0-a qədər olan versiyalar. Düzəldilmiş Versiyalar: 3.9.0 3.8.1 3.7.2 İstifadəçilərə bu problemi aradan qaldırmaq üçün 3.7.2 və ya daha yeni versiyaya yüksəltmə etməkləri tövsiyə olunur. Yüngüllətmə Tövsiyələri: Düzəldilmiş versiyalara yüksəltmə edə bilməyən istifadəçilər problemi aşağıdakı yollarla yüngülləşdirə bilərlər: - SCRAM Autentifikasiyası ilə TLS-dən istifadə: Autentifikasiya mübadilələrini şifrələmək və onların tutulmasının qarşısını almaq üçün SCRAM-ı hər zaman TLS üzərindən tətbiq edin. - Alternativ Autentifikasiya Mexanizmlərini Nəzərdən Keçirmək: Əlavə təhlükəsizlik qatları təmin edən PLAIN, Kerberos və ya TLS ilə OAuth kimi alternativ autentifikasiya mexanizmlərini qiymətləndirin.