【已复现】Apache Kafka Connect JNDI注入漏洞(CVE-2023-25194)安全风险通告

最新推荐文章于 2024-03-26 17:31:08 发布
奇安信代码卫士 最新推荐文章于 2024-03-26 17:31:08 发布
阅读量3.9k 收藏
点赞数 1
文章标签： kafka apache 安全 分布式 java
原文链接： https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247515512&idx=2&sn=e98e47bd34da117cc9f366253220df47&chksm=ea948c12dde30504b800504eae806ba06d26ac8b0598b1bc3e9808c2574a3161a52d5a6e6edf&scene=126&sessionid=0
版权

d7ded5249c3859923ca306edcba39150.png

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

安全通告

Kafka Connect是一种用于在Apache Kafka和其他系统之间可扩展且可靠地流式传输数据的工具。它使快速定义将大量数据移入和移出Kafka的连接器变得简单。Kafka Connect可以摄取整个数据库或从所有应用程序服务器收集指标到Kafka主题中，使数据可用于低延迟的流处理。

近日，奇安信CERT监测到Apache Kafka官方发布Apache Kafka Connect JNDI注入漏洞(CVE-2023-25194)通告，当攻击者可访问Kafka Connect Worker，且可以创建或修改连接器时，通过设置sasl.jaas.config属性为com.sun.security.auth.module.JndiLoginModule，进而可导致JNDI注入，造成RCE需低版本JDK或目标Kafka Connect系统中存在利用链。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

漏洞名称

Apache Kafka Connect   JNDI注入漏洞

公开时间

2023-02-08

更新时间

2023-02-09

CVE编号

CVE-2023-25194

其他编号

QVD-2023-3797

威胁类型

代码执行

技术类型

JNDI注入

厂商

Apache

产品

Kafka

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色（一般事件）

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

未公开

未公开

未发现

已公开

漏洞描述

在Apache Kafka Connect中存在JNDI注入漏洞，当攻击者可访问Kafka Connect Worker，且可以创建或修改连接器时，通过设置sasl.jaas.config属性为com.sun.security.auth.module.JndiLoginModule，进而可导致JNDI注入，造成RCE需低版本JDK或目标Kafka Connect系统中存在利用链。

影响版本

2.3.0 <= Apache Kafka <= 3.3.2

不受影响版本

Apache Kafka >= 3.4.0

其他受影响组件

无

目前，奇安信CERT已成功复现Apache Kafka Connect JNDI注入漏洞(CVE-2023-25194)，截图如下：

af6d4a29c4b81a2c416abedee856991e.png

8fe39b1227cd86d72affb5a1ac806482.png

威胁评估

漏洞名称

Apache Kafka Connect JNDI注入漏洞

CVE编号

CVE-2023-25194

其他编号

QVD-2023-3797

CVSS 3.1评级

高危

CVSS 3.1分数

8.3

CVSS向量

访问途径（AV）

攻击复杂度（AC）

相邻网络

低

所需权限（PR）

用户交互（UI）

无

不需要

影响范围（S）

机密性影响（C）

不改变

高

完整性影响（I）

可用性影响（A）

低

高

危害描述

当攻击者可访问Kafka Connect Worker，且可以创建或修改连接器时，设置恶意LDAP地址，目标Connect服务器获得响应解析后可导致JNDI注入。

处置建议

目前官方已有可更新版本，建议受影响用户升级至：Apache Kafka 3.4.0及以上版本。

暂时无法升级的用户可通过验证Kafka Connect连接器配置，仅允许受信任的JNDI配置来缓解此漏洞。

产品解决方案

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：7710，建议用户尽快升级检测规则库至2302091000以上。

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.0209.13727或以上版本。规则ID及规则名称：0x100214CA，Apache kafka JNDI注入漏洞(CVE-2023-25194)。奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对Apache Kafka JNDI注入漏洞(CVE-2023-25194)的防护。

参考资料

[1]https://kafka.apache.org/cve-list

时间线

2023年2月9日，奇安信 CERT发布安全风险通告。

转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

bd8c492f5e9128a8329da7afec779ce9.jpeg

b8a01923b24dc1256ef847ccd37f431b.jpeg

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   565682d9adb1a093bf7d846d1ae81da3.gif 觉得不错，就点个 “在看” 或 "赞” 吧~

奇安信代码卫士
关注 关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Apache Kafka Connect JNDI注入漏洞复现(CVE-2023-25194)
0xSec
03-18 6161
在Apache Kafka Connect中存在JNDI注入漏洞，当攻击者可访问Kafka Connect Worker，且可以创建或修改连接器时，通过设置sasl.jaas.config属性为com.sun.security.auth.module.JndiLoginModule，进而可导致JNDI注入，造成RCE需低版本JDK或目标Kafka Connect系统中存在利用链。
Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)
Continuejww的博客
12-13 1399
Apache Kafka是一个开源分布式消息队列，Kafka clients是相对应的Java客户端。在版本3.3.2及以前，Apache Kafka clients中存在一处JNDI注入漏洞。如果攻击者在连接的时候可以控制属性的值为，则可以发起JNDI连接，进而导致JNDI注入漏洞，执行任意命令。由于这个漏洞是存在于Java库kafka-clients中，所以我们需要在真实环境下找到使用了这个库的软件，且用户可以控制连接参数。
Kafka Connect
最新发布
lihongbao80的专栏
03-26 1201
Kafka Connect 是 Apache Kafka® 的一个免费开源组件，可作为集中式数据中心，用于在数据库、键值存储、搜索索引和文件系统之间进行简单的数据集成。您可以使用 Kafka Connect 在 Apache Kafka 和其他数据系统之间流式传输数据，并快速创建用于将大型数据集移入和移出 Kafka® 的连接器。
漏洞分析| Apache Kafka Clients JNDI注入漏洞 (CVE-2023-25194)
xuandaoren的博客
11-13 612
如果攻击者在连接的时候可以控制属性sasl.jaas.config的值为com.sun.security.auth.module.JndiLoginModule，则可以发起JNDI连接，进而导致JNDI注入漏洞，执行任意命令。跟进 ((ChannelBuilder)channelBuilder).configure(configs) 方法，最后跟到 org.apache.kafka.common.security.authenticator.LoginManager 的构造函数。
【漏洞真实影响分析】Apache Kafka Connect 模块JNDI注入（CVE-2023-25194）
murphysec的博客
02-13 4587
Apache Kafka Connect 是Kafka中用于和其他数据系统传输数据的服务，其独立运行版本可以在Kafka发布包中通过bin/connect-standalone.sh启动，默认会在8083端口开启HTTP REST API服务，可对连接器（Connector）的配置进行操作
Apache Kafka JNDI注入(CVE-2023-25194)漏洞复现浅析
蚁景网安学院
03-23 582
Apache Kafka是一个开源的分布式事件流平台，被数千家公司用于高性能数据管道、流分析、数据集成和任务关键型应用程序。
Apache Kafka Clients JNDI注入漏洞 (CVE-2023-25194) vulhub复现
qq_53003652的博客
07-14 925
在版本3.3.2及以前，Apache Kafka clients中存在一处JNDI注入漏洞。Apache Kafka是一个开源分布式消息队列，Kafka clients是相对应的Java客户端。base64编码后为dG91Y2ggL3RtcC9sbV9oYWNrZXI=，则可以发起JNDI连接，进而导致JNDI注入漏洞，执行任意命令。可以看到lm_hacker文件被成功创建(hacker是测试过的)启动kali：192.168.126.128。发送数据包，回到靶机，进入漏洞目录下。
kafka-connect-elasticsearch-source:Kafka Connect Elasticsearch源
05-07
Kafka-connect-elasticsearch-source Kafka Connect Elasticsearch来源：从elastic-search获取数据并将其发送到kafka。 连接器仅使用严格的增量/时间字段（例如时间戳或增量ID）来获取新数据。 它支持动态模式和...
kafka-connect-mongodb:用于Kafka Connect的MongoDB接收器连接器
05-02
kafka-连接-mongodb 您可以通过使用kafka9-connect-mongodb分支将此连接器用于Kafka9。 用于Kafka Connect的MongoDB接收器连接器提供了从Kafka主题或主题集到MongoDB集合或多个集合的简单，连续的链接。 连接器...
docker-kafka-connect:用于kafka-connect的Docker映像
05-09
docker-kafka-连接 Dockerized （分布式模式） 支持的标签 0.10.0.0 （2.11） 0.10.1.1 （2.11） 最新的0.10.2.0 （2.12） 快速开始 使用Docker Compose 像这样编写docker-compose.yml ，然后执行docker-...
Apache Kafka 3.0.0 (kafka-3.0.0-src.tgz）
02-17
Apache Kafka 3.0.0 (kafka-3.0.0-src.tgz源代码) 是一个开源分布式事件流平台，被数千家公司用于高性能数据管道、流分析、数据集成和关键任务应用程序。
kafka-connect-redis:f Kafka Connect Redis的源和接收器连接器
05-11
Kafka Connect Redis 用于Redis的Kafka源和接收器连接器 连接器 来源 Kafka Connect Redis Source使用Redis发布/订阅订阅Redis通道/模式（包括），并将接收到的消息写入Kafka。 有关更多信息，请参见。 下沉 Kafka...
CVE-2023-25194漏洞 Apache Kafka Connect JNDI注入漏洞
Fiverya的博客
02-10 3693
CVE-2023-25194漏洞
Kafka Connect JNDI注入漏洞复现(CVE-2023-25194)
qq_40646572的博客
05-14 1977
2、无法升级的用户可通过验证Kafka Connect连接器配置，仅允许受信任的JNDI配置来缓解此漏洞。在该功能中，将payload填写到Consumer properties属性值中即可。在payload提交前，请先在vps机器中开启ldap服务。在Load data功能页中的Streaming功能中。我是通过vulhub下载的环境，下载后直接启动即可。打开页面，漏洞点在Load data功能页中。使用低版本的jdk中的ldap服务即可。
关于Apache Kafka 反序列化漏洞（CVE-2023-25194）
sandfeng的博客
03-22 567
Apache 发布安全公告，Apache Kafka 存在反序列化漏洞。此漏洞允许服务器连接到攻击者的 LDAP 服务器并反序列化 LDAP 响应，攻击者可以使用它在 Kafka 连接服务器上执行 java 反序列化小工具链。当类路径中有小工具时，攻击者 可以造成不可信数据的无限制反序列化（或）RCE 漏洞。厂商已发布安全补丁修复漏洞，请及时下 载更新。Kafka 是由 Apache 软件基金会开发的一个开源流处 理平台，由 Scala 和 Java 编写。漏洞编号：CVE-2023-25194。
Apache Druid中Kafka配置远程代码执行漏洞（MPS-2023-6623）
murphysec的博客
04-28 1708
Apache Druid 是一个高性能的数据分析引擎。 Kafka Connect模块曾出现JNDI注入漏洞(CVE-2023-25194)，近期安全研究人员发现Apache Druid由于支持从 Kafka 加载数据的实现满足其利用条件，攻击者可通过修改 Kafka 连接配置属性进行 JNDI 注入攻击，进而在服务端执行任意恶意代码。 Apache Druid通过部署在内网，用户可对其开启身份认证机制降低漏洞利用风险。
Apache Kafka 拒绝服务漏洞
OSCS开源安全社区
09-21 1532
1）没有身份验证的Kafka集群：任何能够与Broker建立网络连接的客户端都可能引发该问题。2）具有SASL身份验证的Kafka集群：任何能够与Broker建立网络连接而无需有效SASL凭据的客户端都可以触发问题。3）具有TLS身份验证的Kafka集群：只有能够通过TLS成功身份验证的客户端才能触发问题。OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。Apache Kafka是一个高度可扩展的分布式消息队列。
漏洞预警|Apache Kafka 拒绝服务漏洞
LJQClqjc的博客
09-22 819
棱镜七彩安全预警
[CVE-2023-25194] 开源流处理平台Kafka JNDI注入漏洞
追光者的博客
03-12 440
[CVE-2023-25194] 开源流处理平台Kafka JNDI注入漏洞
CVE-2023-3519
07-27
很抱歉，我无法找到关于CVE-2023-3519的相关信息。请确认该CVE编号是否正确，并提供更多的背景信息，以便我能够更好地回答您的问题。 #### 引用[.reference_title] - *1* [struts2-core-2.3.15.1遇到两个漏洞升级最新版【Struts 2.5.26】](https://blog.csdn.net/JEFFYU328/article/details/115907882)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* *3* [Apache Kafka JNDI注入(CVE-2023-25194)漏洞复现浅析](https://blog.csdn.net/qq_38154820/article/details/129731587)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
34
原创
109
点赞
451
收藏
346
粉丝
关注
私信
写文章

热门文章

  • 我是一名自由职业白帽黑客 13403
  • FBI紧急警告：黑客利用开源SonarQube实例窃取政府和企业源代码 7761
  • Black Hat USA 2020 大会主议题大盘点（上） 7536
  • TP-Link 路由器被曝严重漏洞：无需密码即可登录 7022
  • 全球最大的免费暗网托管服务商 DH 再度被黑关闭 6725

分类专栏

  • 计算机安全

最新评论

  • Splunk Enterprise远程代码执行漏洞(CVE-2022-43571)安全风险通告

    轻薄本HK: poc也不给你发出来干集贸？

  • 【已复现】curl SOCKS5 堆溢出漏洞(CVE-2023-38545)安全风险通告

    sasalisun: 你好请问下在windows平台需要怎么修复呢？

  • OpenAI 账户验证流程存在漏洞，可导致用户无限薅羊毛

    陈秋问月: 邮箱通行用什么！？。

  • CVE-2020-0601漏洞详细分析

    ydhl12s: 请问openssl_cs.conf文件是什么呢

  • 《2022年道德黑客洞察报告》：不少人计划当全职漏洞猎人

    我叫大圣: 奇安信的大佬

您愿意向朋友推荐“博客详情页”吗？

  • 强烈不推荐
  • 不推荐
  • 一般般
  • 推荐
  • 强烈推荐
提交

最新文章

  • 近四分之一的企业遭API相关攻击
  • 美国将封禁卡巴斯基杀毒软件 要求企业在9月29日前替换
  • 研究员利用0day盗取密币交易所300万美元并拒绝归还
2024
06月 30篇
05月 43篇
04月 44篇
03月 40篇
02月 26篇
01月 42篇
2023年456篇
2022年444篇
2021年542篇
2020年480篇
2019年33篇

目录

目录

分类专栏

目录

评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值

哆哆女性网血战沙漠吉吉影音资源淑字起名超级全能学生ff12剧情大学处分撤销申请书合肥万科金域华府祖玛阁走法异度传说3btv卡酷少儿公司起名有火和土的护国龙婿西安哪有起名的今天的幸福2全世界谁倾听你3d藏机图下载周易取名起名大全软件邪御天娇最新章节大秦不装了你爹我是秦始皇给男孩起名的诗文为公司起个名字的软件杨姓女孩起名100分春天生的女孩起名字好河边的故事的方姓男孩男宝宝起名专业合作社起名字好听freeavjavHd女孩起名姓肖google.com.tw2020年宝宝起名字淀粉肠小王子日销售额涨超10倍罗斯否认插足凯特王妃婚姻不负春光新的一天从800个哈欠开始有个姐真把千机伞做出来了国产伟哥去年销售近13亿充个话费竟沦为间接洗钱工具重庆警方辟谣“男子杀人焚尸”男子给前妻转账 现任妻子起诉要回春分繁花正当时呼北高速交通事故已致14人死亡杨洋拄拐现身医院月嫂回应掌掴婴儿是在赶虫子男孩疑遭霸凌 家长讨说法被踢出群因自嘲式简历走红的教授更新简介网友建议重庆地铁不准乘客携带菜筐清明节放假3天调休1天郑州一火锅店爆改成麻辣烫店19岁小伙救下5人后溺亡 多方发声两大学生合买彩票中奖一人不认账张家界的山上“长”满了韩国人？单亲妈妈陷入热恋 14岁儿子报警#春分立蛋大挑战#青海通报栏杆断裂小学生跌落住进ICU代拍被何赛飞拿着魔杖追着打315晚会后胖东来又人满为患了当地回应沈阳致3死车祸车主疑毒驾武汉大学樱花即将进入盛花期张立群任西安交通大学校长为江西彩礼“减负”的“试婚人”网友洛杉矶偶遇贾玲倪萍分享减重40斤方法男孩8年未见母亲被告知被遗忘小米汽车超级工厂正式揭幕周杰伦一审败诉网易特朗普谈“凯特王妃P图照”考生莫言也上北大硕士复试名单了妈妈回应孩子在校撞护栏坠楼恒大被罚41.75亿到底怎么缴男子持台球杆殴打2名女店员被抓校方回应护栏损坏小学生课间坠楼外国人感慨凌晨的中国很安全火箭最近9战8胜1负王树国3次鞠躬告别西交大师生房客欠租失踪 房东直发愁萧美琴窜访捷克 外交部回应山西省委原副书记商黎光被逮捕阿根廷将发行1万与2万面值的纸币英国王室又一合照被质疑P图男子被猫抓伤后确诊“猫抓病”

哆哆女性网 XML地图 TXT地图 虚拟主机 SEO 网站制作 网站优化