PT-2026-128296
CVE-2026-112375
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Kafka الإصدارات السابقة لـ 4.2.2
Apache Kafka الإصدارات السابقة لـ 4.3.2
Apache Kafka الإصدارات السابقة لـ 4.4.0
Description
يمكن لمستخدم مصادق عليه (principal) لا يملك صلاحيات تفويض أن يجبر الوسيط (broker) على قراءة وإرجاع محتويات ملف أو متغير بيئة من مضيف الوسيط. يحدث هذا لأن طلبات
IncrementalAlterConfigs أو AlterConfigs التي تستهدف مورد BROKER تخضع للتحقق من صحة التكوين قبل تطبيق فحوصات التفويض. خلال هذه العملية، يقوم النظام بحل متغيرات التكوين باستخدام ConfigProvider محدد في الطلب، متجاوزاً قائمة المسموح بها. يسمح هذا بإنشاء مزودات عشوائية، مثل FileConfigProvider أو EnvVarConfigProvider ، والتي يمكنها بعد ذلك كشف بيانات حساسة مثل بيانات الاعتماد أو مخازن المفاتيح (keystores) من خلال أخطاء التحقق من النوع. يقتصر التأثير على الملفات ومتغيرات البيئة التي يمكن الوصول إليها من خلال صلاحيات نظام التشغيل الخاصة بعملية الوسيط.Recommendations
التحديث إلى Apache Kafka الإصدار 4.2.2.
التحديث إلى Apache Kafka الإصدار 4.3.2.
التحديث إلى Apache Kafka الإصدار 4.4.0.
تشغيل الوسطاء (brokers) باستخدام حساب نظام تشغيل بأقل صلاحيات ممكنة لضمان عدم قدرة عملية الوسيط على قراءة الملفات الحساسة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾