CVE-2026-110952

Nome do Software Vulnerável e Versões Afetadas Apache Kafka versões anteriores a 4.4.0

Description Um broker Kafka que utiliza o validador baseado em JWKS para autenticação SASL/OAUTHBEARER verifica as assinaturas JWT, mas não impõe verificações de emissor e audiência por padrão. Especificamente, a reivindicação de emissor (iss) é verificada apenas se sasl.oauthbearer.expected.issuer estiver configurado, e a reivindicação de audiência (aud) é exigida apenas se sasl.oauthbearer.expected.audience estiver configurado. Em ambientes multi-tenant ou implantações com endpoints JWKS compartilhados, isso pode permitir que um token de um emissor diferente ou um token sem audiência seja aceito, potencialmente concedendo acesso como um principal com privilégios mais elevados.

Recommendations Atualize para o Apache Kafka versão 4.4.0 ou posterior. Como mitigação temporária para versões anteriores a 4.4.0, configure tanto o sasl.oauthbearer.expected.issuer com o valor exato do emissor do provedor quanto o sasl.oauthbearer.expected.audience com a audiência esperada por listener.