漏洞预警|Apache Kafka Connect JNDI注入漏洞
棱镜七彩安全预警
近日网上有关于开源项目Apache Kafka Connect JNDI注入漏洞，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。
项目介绍
Karaf是Apache旗下的一个开源项目。Karaf同时也是一个基于OSGi的运行环境，Karaf提供了一个轻量级的OSGi容器，可以用于部署各种组件，应用程序。Karaf提供了很多特性用于帮助开发者和用户更加灵活的部署应用，例如：热部署、动态配置、几种日志处理系统、本地系统集成、可编程扩展控制台、ssh远程访问、内置安装认证机制等等。同时Karaf作为一款成熟而且优秀的OSGi运行环境以及容器已经被诸多Apache项目作为基础容器,例如：Apache Geronimo， ApacheServiceMix，Fuse ESB，由此可见Karaf在性能，功能和稳定性上都是个不错的选择。
项目主页
https://karaf.apache.org/
代码托管地址
https://github.com/apache/karaf/
CVE编号
CVE-2023-25194
漏洞情况
Kafka 是 Apache 软件基金会的一种分布式的、基于发布/订阅的消息系统，可以处理消费者在网站中的所有动作流数据。Kafka Connect 是一种工具，用于在 Apache Kafka 和其他数据系统之间以可扩展且可靠的方式传输数据。
Kafka 2.3.0 至 3.3.2 版本中,攻击者可通过将 Connect 的任意 Kafka 客户端的 sasl.jaas.config 属性设置为 可通过创建或修改客户端配置，进行 JNDI 注入攻击 0day 相关漏洞情报，攻击者可以使用基于 SASL JAAS 配置和 SASL 协议的任意 Kafka 客户端，在对 Kafka Connect worker 创建或修改连接器时，通过构造特殊的配置，进行 JNDI 注入。
受影响的版本
org.apache.kafka:kafka-clients@[2.3.0, 3.4.0)
修复方案
将组件 org.apache.kafka:kafka-clients 升级至 3.4.0 及以上版本
链接地址：
NVD - CVE-2023-25194
Apache Kafka
HackerOne
KAFKA-14455: Kafka Connect create and update REST APIs should surface… · apache/kafka@a3cf8b5 · GitHub