Apache Kafka: Deserialisierung über SASL-JAAS-Konfiguration ermöglicht RCE

Beschreibung

In Apache Kafka kann ein authentifizierter Operator mit Zugriff auf AlterConfig oder einen Kafka-Connect-Worker die Eigenschaft sasl.jaas.config auf das LdapLoginModule setzen. Dadurch verbindet sich der Server mit einem vom Angreifer kontrollierten LDAP-Server und deserialisiert dessen Antwort, was bei passenden Gadget-Chains im Klassenpfad zu einer unkontrollierten Deserialisierung und Codeausführung führt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Apache Kafka 3.9.1/4.0.0 aktualisieren, die problematischen Login-Module per Systemeigenschaft org.apache.kafka.disallowed.login.modules deaktivieren und nur vertrauenswürdige LDAP-Konfigurationen zulassen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in RabbitMQ/Kafka

• Apache EventMesh – Unsichere Deserialisierung ermöglicht RCE CVE-2023-26512
• Apache Kafka – Unsichere Standard-JWT-Validierungsklasse (SASL/OAUTHBEARER) CVE-2026-33557
• Foreign Bindings auf amq.rabbitmq.reply-to in RabbitMQ CVE-2026-57215
• Spring for Apache Kafka: unsichere Präfix-Prüfung vertrauenswürdiger Pakete im Kafka-Header-Mapper CVE-2026-41731
• RabbitMQ – Fehlerhafte Topic-Autorisierung im MQTT-Plugin CVE-2026-44838
• Strimzi (Apache Kafka auf Kubernetes) – Schwachstelle bei benutzerdefinierter CA CVE-2026-27134