CVE-2026-115644

Nome do Software Vulnerável e Versões Afetadas Apache Kafka versões anteriores a 4.2.2 Apache Kafka versões anteriores a 4.3.2 Apache Kafka versões anteriores a 4.4.0

Description Existe uma falha de bypass de autenticação na API REST de administração quando a propriedade admin.listeners é configurada separadamente da propriedade principal listeners. Nesta configuração, as extensões REST definidas via rest.extension.classes, como a BasicAuthSecurityRestExtension, não são aplicadas à configuração do recurso de administração. Consequentemente, o endpoint /admin/loggers não herda os filtros de autenticação e autorização, permitindo que usuários não autenticados com acesso de rede ao listener de administração leiam nomes e níveis de log ou modifiquem níveis de log em todo o cluster. Isso pode levar à divulgação de nomes de classes carregadas e extensões de segurança, ou impactar a disponibilidade e a observabilidade ao suprimir ou inflar a saída de logs.

Recommendations Atualize para a versão 4.2.2, 4.3.2 ou 4.4.0. Como solução temporária, remova ou desconfigure a configuração admin.listeners para que os recursos de administração compartilhem o listener regular e suas extensões de segurança.