CVE-2026-27134
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w Strimzi w wersjach 0.49.0 do 0.50.0 dotyczy nieprawidłowej konfiguracji zaufanych certyfikatów dla uwierzytelniania mTLS przy użyciu niestandardowego CA z wieloetapowym łańcuchem CA. Powoduje to, że wszystkie CA z łańcucha są uznawane za zaufane, co pozwala na uwierzytelnienie użytkownikom z certyfikatami podpisanymi przez dowolne CA w łańcuchu.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do klastra Kafka przez osoby posiadające certyfikaty podpisane przez dowolne CA w łańcuchu, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.50.1. Jako tymczasowe obejście, zamiast pełnego łańcucha CA należy dostarczyć tylko pojedyncze CA, które ma być używane.
Inne podatności w Strimzi
Zobacz wszystkie- CVE-2026-105312Krytyczne
W Kubernetes tenant posiadający uprawnienie create na zasobach Console może ustawić spec.containers.api.spec.image na dowolny obraz kontenera. Operator wdraża ten obraz do poda, którego ServiceAccount jest powiązany przez ClusterRoleBinding z ClusterRole przyznającym szerokie uprawnienia do CRD Strimzi oraz widok monitoringu klastra. Kod atakującego odczytuje token SA i uzyskuje między-tenantowy dostęp odczytu i zapisu do płaszczyzny kontrolnej Strimzi.
- CVE-2024-36543Krytyczne
W projekcie Strimzi w wersji 0.41.0 i wcześniejszych wykryto nieprawidłową kontrolę dostępu w interfejsie API REST Kafka Connect. Luka umożliwia atakującemu przeprowadzenie ataku DoS na mirrorowanie Kafki, potencjalne skopiowanie zawartości tematów do własnego klastra Kafki (z pominięciem list ACL) oraz kradzież poświadczeń SASL poprzez zapytania do API REST MirrorMaker.
- CVE-2026-55226Średnie
Strimzi umożliwia uruchamianie klastra Apache Kafka na Kubernetes lub OpenShift w różnych konfiguracjach. W Strimzi 1.0.0 i wcześniejszych wdrożenie tylko Topic Operator lub tylko User Operator przez zasób niestandardowy Kafka pozostawia konto usługi Entity Operator z uprawnieniami RBAC dla obu komponentów. Nadmiarowe uprawnienia mogą pozwolić na dostęp do zasobów niestandardowych KafkaUser i Sekretów, gdy User Operator jest nieobecny, lub do zasobów niestandardowych KafkaTopic, gdy Topic Operator jest nieobecny.
- CVE-2026-55225Wysokie
W Strimzi w wersji 1.0.0 i wcześniejszych atakujący mogący utworzyć zasób niestandardowy Kafka może ustawić Kafka.spec.entityOperator watchedNamespace na docelową przestrzeń nazw, powodując utworzenie przez Cluster Operator roli z pełnymi uprawnieniami CRUD do Secret w tej przestrzeni i powiązanie jej z kontem usługi Entity Operator w przestrzeni nazw atakującego. Atakujący może wygenerować token dla tego konta usługi i odczytywać lub zapisywać sekrety w dowolnej docelowej przestrzeni nazw, w której Cluster Operator ma przyznane uprawnienia, niezależnie od STRIMZI_NAMESPACE. Problem naprawiono w wersjach 1.0.1 i 1.1.0.
Oryginalny opis (angielski, źródło NVD)
Strimzi provides a way to run an Apache Kafka cluster on Kubernetes or OpenShift in various deployment configurations. In versions 0.49.0 through 0.50.0, when using a custom Cluster or Clients CA with a multistage CA chain consisting of multiple CAs, Strimzi incorrectly configures the trusted certificates for mTLS authentication on the internal as well as user-configured listeners. All CAs from the CA chain will be trusted. And users with certificates signed by any of the CAs in the chain will be able to authenticate. This issue affects only users using a custom Cluster or Clients CA with a multistage CA chain consisting of multiple CAs. It does not affect users using the Strimzi-managed Cluster and Clients CAs. It also does not affect users using custom Cluster or Clients CA with only a single CA (i.e., no CA chain with multiple CAs). This issue has been fixed in version 0.50.1. To workaround this issue, instead of providing the full CA chain as the custom CA, users can provide only the single CA that should be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS