CVE-2026-42316

kafka-sink-azure-kusto Kafka Connect eklentisi, Azure Data Explorer (Kusto) için resmi Microsoft sink bileşenidir. 5.2.3 sürümünden önce, kafka-sink-azure-kusto, kusto.tables.topics.mapping yapılandırması içindeki kullanıcı kontrollü değerleri temizlemiyordu. Her eşleme girişinin db, table, mapping ve format alanları, String.formatted(...) aracılığıyla doğrudan KQL yönetim/sorgu komutlarına ekleniyordu (örneğin, FETCH_TABLE_COMMAND.formatted(table) → "<table> | count", FETCH_TABLE_MAPPING_COMMAND.formatted(table, format, mapping) → ".show table <table> ingestion <format> mapping '<mapping>'"). Konnektör yapılandırmasını etkileyebilen bir aktör (örneğin, Kafka Connect konnektör yapılandırmalarını gönderme veya düzenleme yetkisine sahip biri), konnektörün servis ana kimliği bağlamında rastgele yönetim komutlarını yürütmek için KQL meta karakterlerini (;, |, ') yerleştirebilir; bu da hedef Azure Data Explorer veritabanında şema numaralandırma/değiştirme, veri alma eşleme manipülasyonu veya akış/saklama politikalarında değişiklik yapılmasına olanak tanır. Bu bir kurcalama (tampering) zafiyetidir. İstismar edilmesi, konnektör yapılandırmasına ayrıcalıklı erişim gerektirir; herhangi bir son kullanıcı etkileşimi veya Kafka kayıt yükü söz konusu değildir. Bu zafiyet 5.2.3 sürümünde giderilmiştir.