CVE-2024-36543
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W projekcie Strimzi w wersji 0.41.0 i wcześniejszych wykryto nieprawidłową kontrolę dostępu w interfejsie API REST Kafka Connect. Luka umożliwia atakującemu przeprowadzenie ataku DoS na mirrorowanie Kafki, potencjalne skopiowanie zawartości tematów do własnego klastra Kafki (z pominięciem list ACL) oraz kradzież poświadczeń SASL poprzez zapytania do API REST MirrorMaker.
Ocena ryzyka
Organizacja narażona jest na przerwanie ciągłości mirrorowania danych, wyciek wrażliwych danych biznesowych oraz kradzież poświadczeń uwierzytelniających, co może prowadzić do dalszych ataków na infrastrukturę Kafki.
Rekomendacja
Należy niezwłocznie zaktualizować Strimzi do wersji nowszej niż 0.41.0 oraz ograniczyć dostęp do API REST Kafka Connect wyłącznie do zaufanych sieci i użytkowników.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in the Kafka Connect REST API in the STRIMZI Project 0.41.0 and earlier allows an attacker to deny the service for Kafka Mirroring, potentially mirror the topics' content to his Kafka cluster via a malicious connector (bypassing Kafka ACL if it exists), and potentially steal Kafka SASL credentials, by querying the MirrorMaker Kafka REST API.