Podatności kafka-ui

Kafka UI, open-source'owy interfejs webowy do zarządzania Apache Kafka, umożliwia łączenie się z brokerami Kafka oraz monitorowanie ich wydajności przez porty JMX. JMX oparty jest na protokole RMI, który jest podatny na ataki deserializacji. Atakujący może wykorzystać tę funkcję, łącząc backend Kafka UI z własnym złośliwym brokerem, co w najgorszym przypadku prowadzi do zdalnego wykonania kodu (RCE). Podatność występuje, gdy włączona jest właściwość dynamic.config.enabled lub gdy atakujący ma dostęp do klastra Kafka podłączonego do Kafka UI.

W provectus kafka-ui do wersji 0.7.2 funkcja validateAccess w pliku /api/smartfilters/testexecutions jest podatna na wstrzykiwanie kodu. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

Nieprawidłowa walidacja danych wejściowych w komponencie /kafka/ui/serdes/CustomSerdeLoader.java w kafka-ui w wersjach od v0.6.0 do v0.7.2 pozwala atakującym na wykonanie dowolnego kodu poprzez dostarczenie spreparowanych danych. Luka wynika z niewystarczającego sprawdzania danych wejściowych przed ich przetworzeniem.