PT-2026-128289
CVE-2026-110952
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Kafka الإصدارات السابقة لـ 4.4.0
Description
يقوم وسيط Kafka الذي يستخدم المصدق المدعوم بـ JWKS لمصادقة SASL/OAUTHBEARER بالتحقق من توقيعات JWT، ولكنه لا يفرض فحوصات المصدر والجمهور بشكل افتراضي. وتحديداً، يتم التحقق من مطالبة المصدر (
iss) فقط عند تكوين sasl.oauthbearer.expected.issuer ، وتكون مطالبة الجمهور (aud) مطلوبة فقط عند تكوين sasl.oauthbearer.expected.audience. في البيئات متعددة المستأجرين أو عمليات النشر التي تستخدم نقاط نهاية JWKS مشتركة، قد يؤدي ذلك إلى قبول رمز صادر عن مصدر مختلف أو رمز يفتقر إلى الجمهور، مما قد يسمح بالوصول كأصيل ذو صلاحيات أعلى.Recommendations
التحديث إلى Apache Kafka الإصدار 4.4.0 أو أحدث.
كإجراء تخفيف مؤقت للإصدارات السابقة لـ 4.4.0، قم بتعيين كل من
sasl.oauthbearer.expected.issuer إلى قيمة المصدر الدقيقة للمزود و sasl.oauthbearer.expected.audience إلى الجمهور المتوقع لكل مستمع (listener). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾