CVE-2026-41115
Təsvir
Apache Kafka-da yanlış avtorizasiya zəifliyi aşkar edilmişdir. CONSUMER_GROUP_DESCRIBE (69) API-nin tətbiqi, rəsmi Kafka sənədlərində və KIP-848-də qeyd olunan READ əməliyyatı əvəzinə, GROUP resursu üzərində DESCRIBE əməliyyatını yoxlayır. Bu uyğunsuzluq səhv konfiqurasiya edilmiş Girişə Nəzarət Siyahılarına (ACLs) və gözlənilməz təhlükəsizlik vəziyyətlərinə səbəb ola bilər; məsələn, qruplara qoşulmamalı və ya onları sinxronlaşdırmamalı olan istifadəçilərə READ icazəsinin verilməsi və ya READ icazəsi olmayan (lakin DESCRIBE icazəsi olan) istifadəçilərin həssas qrup metadata-sına girişinin təmin edilməsi kimi. CONSUMER_GROUP_DESCRIBE API üçün düzgün icazə DESCRIBE GROUP olduğu üçün mövcud tətbiq doğrudur. Bununla belə, düzgün icazəni əks etdirmək üçün Kafka sənədləri və KIP-848 yenilənəcəkdir. Kafka istifadəçilərinə minimum imtiyaz prinsipinə (principle of least privilege) əməl olunduğundan əmin olmaq üçün mövcud qrup ACL-lərini nəzərdən keçirmələri tövsiyə olunur.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache kafka | 4.0.0 ≤ v ≤ 4.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.