【高危安全通告】Apache Kafka反序列化漏洞

↑ 点击上方 关注我们

近日，安全狗应急响应中心关注到Apache官方发布安全公告，修复了Apache Kafka反序列化漏洞（CVE-2023-25194）。Apache Kafka 存在安全漏洞，该漏洞源于 Apache Kafka 中的某些组件使用Arrays.equals来验证密码或密钥，容易受到定时攻击。本地用户可以滥用Arrays.equals来暴力破解访问凭据并提升系统权限。

漏洞描述

Apache Kafka是美国阿帕奇（Apache）基金会的一套开源的分布式流媒体平台。该平台能够获取实时数据，用于构建对数据流的变化进行实时反应的应用程序。

Kafka客户端SASL JAAS配置和基于SASL的安全协议，自Apache Kafka以来，Kafka Connect集群上就可以实现这一点2.3.0.当通过Kafka Connect REST API配置连接器时，经过身份验证的操作员可以为任何连接器的Kafka客户端这将允许服务器连接到攻击者的LDAP服务器，并反序列化LDAP响应，攻击者可以使用该响应，在Kafka connect上执行java反序列化小工具链，服务器攻击者可以导致不受信任的不受限制的反序列化，当类路径中存在小工具时，数据（或）RCE漏洞。

安全通告信息

漏洞名称	Apache Kafka反序列化漏洞
漏洞影响版本	2.3.0<Apache Kafka<3.4.0
漏洞危害等级	高危
厂商是否已发布漏洞补丁	是
版本更新地址	https://kafka.apache.org/
安全狗总预警期数	259
安全狗发布预警日期	2023年02月08日
安全狗更新预警日期	2023年02月08日
发布者	安全狗海青实验室

安全建议

建议Kafka Connect用户验证连接器配置,并且仅允许受信任的JNDI配置。同时检查连接易受攻击版本的依赖关系，并升级连接器，升级该特定依赖项，或删除连接器作为修复选项。最后，除了利用“org.apache.kafka.inhibited.login.modules”系统属性，kafka Connect用户还可以实现自己的连接器客户端,配置覆盖策略用于控制可以直接覆盖哪些Kafka客户端财产在连接器配置中

参考链接

https://kafka.apache.org/cve-list 

https://lists.apache.org/thread/vy1c7fqcdqvq5grcqp6q5jyyb302khyz

安全狗产品解决方案

若想了解更多安全狗产品信息或有相关业务需求，可前往安全狗官网了解：https://www.safedog.cn/

01

云眼·新一代（云）主机入侵检测及安全管理系统

安全狗云眼采用Gartner提出的CWPP理念，提出了以工作负载为中心，以自动化、细粒度资产采集为基础，提供多种风险排查和漏洞发现手段，依托反杀伤链和实时入侵检测响应能力支撑企业安全防护二道防线，解决现代混合云、多云数据中心基础架构中服务器工作负载的安全需求，最终达到对已知威胁的自动响应以及对潜在威胁的检测识别。

02

云御·新一代混合式web应用防护系统

云御是一款新一代混合式Web防火墙产品，通过网络层过滤和主机应用层自保护（RASP）相结合的技术，既能够过滤传统常见的攻击又可以对异常变形和未知漏洞的高级攻击进行识别，达到双层纵深防御的效果。

03

云网·（云）主机漏洞发现及补丁修复系统

安全狗云网·发现及补丁修复系统可以为用户构建属于自己的补丁大数据仓库，用于修补可能导致安全薄弱、破坏关键系统数据或导致系统不可用的漏洞。云网不仅可以进行补丁部署，还可扫描网络漏洞、识别缺失的安全补丁和修补程序，并立即部署以降低网络空间风险。

原文始发于微信公众号（海青安全研究实验室）：【高危安全通告】Apache Kafka反序列化漏洞