Podatności Apache Kafka
3 znanych podatności CVE w Apache Kafka, przetłumaczonych i ocenionych.
- CVE-2026-33557Krytyczne
W Apache Kafka domyślna klasa walidatora JWT (`DefaultJwtValidator`) akceptuje dowolne tokeny JWT bez weryfikacji podpisu, wystawcy ani odbiorcy. Atakujący może wygenerować token z dowolnego wystawcy z dowolną nazwą użytkownika, a broker go zaakceptuje.
- CVE-2026-41115Średnie
W Apache Kafka zidentyfikowano podatność nieprawidłowej autoryzacji w implementacji API CONSUMER_GROUP_DESCRIBE (69). API to waliduje operację DESCRIBE na zasobie GROUP zamiast operacji READ, co jest udokumentowane w oficjalnej dokumentacji i KIP-848. Może to prowadzić do błędnie skonfigurowanych list ACL i niezamierzonych postaw bezpieczeństwa.
- CVE-2026-35554Wysokie
Podatność w kliencie produkcyjnym Apache Kafka Java polega na wyścigu w zarządzaniu pulą buforów, co może powodować ciche dostarczanie wiadomości do niewłaściwych tematów. Problem został rozwiązany w nowszych wersjach.