CVE-2025-27818

Apache Kafka-da mümkün təhlükəsizlik boşluğu aşkar edilmişdir. Bu, cluster resursuna və ya Kafka Connect işçisinə (worker) alterConfig girişinin olması, həmçinin ixtiyari Kafka client SASL JAAS konfiqurasiyası və SASL əsaslı təhlükəsizlik protokolu ilə orada konektorlar yaratmaq/dəyişdirmək imkanını tələb edir ki, bu da Apache Kafka 2.0.0 (Kafka Connect 2.3.0) versiyasından etibarən Kafka clusterlərində mümkündür. Brokeri konfiqurasiya faylı və ya AlterConfig əmri vasitəsilə, yaxud konektoru Kafka Connect REST API vasitəsilə konfiqurasiya edərkən, autentifikasiya olunmuş operator konektorun istənilən Kafka client-i üçün `sasl.jaas.config` xüsusiyyətini `producer.override.sasl.jaas.config`, `consumer.override.sasl.jaas.config` və ya `admin.override.sasl.jaas.config` xüsusiyyətləri vasitəsilə "com.sun.security.auth.module.LdapLoginModule" olaraq təyin edə bilər. Bu, serverin hücumçunun LDAP serverinə qoşulmasına və LDAP cavabının deserializasiyasına imkan verəcəkdir ki, hücumçu da bundan Kafka connect serverində java deserializasiya gadget zəncirlərini icra etmək üçün istifadə edə bilər. Classpath-də gadget-lar olduqda, hücumçu etibarsız məlumatların məhdudiyyətsiz deserializasiyasına (və ya) uzaqdan kodun icrası (RCE) boşluğuna səbəb ola bilər. Apache Kafka 3.0.0 versiyasından etibarən, standart konfiqurasiyalarla işləyən Kafka Connect clusterləri üçün istifadəçilərə konektor konfiqurasiyalarında bu xüsusiyyətləri təyin etməyə icazə verilir. Apache Kafka 3.0.0-dan əvvəl isə, istifadəçilər yalnız Kafka Connect cluster-i onları icazə verən konektor client override siyasəti ilə yenidən konfiqurasiya edildikdə bu xüsusiyyətləri təyin edə bilərdilər. Apache Kafka 3.9.1/4.0.0 versiyasından etibarən, SASL JAAS konfiqurasiyasında problemli login modullarının istifadəsini deaktiv etmək üçün sistem xüsusiyyəti ("-Dorg.apache.kafka.disallowed.login.modules") əlavə edilmişdir. Həmçinin, Apache Kafka Connect 3.9.1/4.0.0 versiyasında susmaya görə "com.sun.security.auth.module.JndiLoginModule,com.sun.security.auth.module.LdapLoginModule" deaktiv edilmişdir. Kafka istifadəçilərinə konektor konfiqurasiyalarını yoxlamağı və yalnız etibarlı LDAP konfiqurasiyalarına icazə verməyi tövsiyə edirik. Həmçinin, həll variantı kimi konektor asılılıqlarını zəif versiyalar üçün araşdırın və ya konektorları yeniləyin, həmin konkret asılılığı yeniləyin və ya konektorları silin. Nəhayət, "org.apache.kafka.disallowed.login.modules" sistem xüsusiyyətindən istifadə etməklə yanaşı, Kafka Connect istifadəçiləri öz konektor client config override siyasətlərini də tətbiq edə bilərlər ki, bu da hansı Kafka client xüsusiyyətlərinin birbaşa konektor konfiqurasiyasında dəyişdirilə biləcəyini və hansılarının dəyişdirilə bilməyəcəyini idarə etmək üçün istifadə edilə bilər.