Apache Kafka ACL配置错误漏洞 (CVE-2024-27309)

漏洞类型 权限管理不当 发现时间 2024-04-12 漏洞等级 高危
MPS编号 MPS-pyb8-l75n CVE编号 CVE-2024-27309 漏洞影响广度 广

漏洞危害

OSCS 描述
Kafka 是 Apache 软件基金会的一种分布式的、基于发布/订阅的消息系统。
Apache Kafka在从ZooKeeper模式迁移到KRaft模式时存在ACL未正确配置风险。
当管理员移除ACL并且资源在移除ACL后仍有其他ACL关联时,Kafka会错误地将资源视为只有一个ACL关联而忽略其他ACL。由于ACL没有生效导致攻击者可以访问Kafka中的敏感信息。
参考链接:https://www.oscs1024.com/hd/MPS-pyb8-l75n

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.kafka:kafka-metadata [3.5.0, 3.6.2) 升级 将 org.apache.kafka:kafka-metadata 升级至 3.6.2 及以上版本
kafka [3.5.0, 3.6.2) 升级 将组件 kafka 升级至 3.6.2 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-pyb8-l75n

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-pyb8-l75n

https://github.com/apache/kafka/commit/3c623b4fb50144cba782c0704f345e6473e66f02

https://seclists.org/oss-sec/2024/q2/105

https://nvd.nist.gov/vuln/detail/CVE-2024-27309

(0)
上一篇 2024年4月15日
下一篇 2024年4月15日

相关推荐

  • Perl for Windows 任意代码执行漏洞 (CVE-2023-47039)

    漏洞类型 堆缓冲区溢出 发现时间 2024-01-03 漏洞等级 高危 MPS编号 MPS-drzf-wlk7 CVE编号 CVE-2023-47039 漏洞影响广度 一般 漏洞危害 OSCS 描述 Perl 是具有通用、解释型、跨平台性的编程语言。 Perl 受影响的Windows版本中,当运行一个使用 Windows Perl 解释器的可执行文件时,Pe…

    2024年1月3日
    0
  • Windows Hyper-V 远程执行代码漏洞 (CVE-2024-20700)

    漏洞类型 OS命令注入 发现时间 2024-01-10 漏洞等级 高危 MPS编号 MPS-3is1-6z5y CVE编号 CVE-2024-20700 漏洞影响广度 广 漏洞危害 OSCS 描述 Windows Hyper-V 是由微软提供的虚拟机监控程序。 由于 Windows Hyper-V 中的竞争条件导致远程代码执行漏洞。通过本地网络,远程攻击者可…

    2024年1月10日
    0
  • glibc __vsyslog_internal 本地提权漏洞 (CVE-2023-6246)

    漏洞类型 缓冲区溢出 发现时间 2024-01-31 漏洞等级 高危 MPS编号 MPS-imzk-oyuj CVE编号 CVE-2023-6246 漏洞影响广度 广 漏洞危害 OSCS 描述 glibc(又名GNU C Library,libc6)是按照LGPL许可协议发布的开源免费C标准库。 由于 __vsyslog_internal 函数未正确处理打印…

    2024年2月1日
    0
  • 企业微信私有化2.5-2.6.93版本后台 API 未授权访问漏洞 [有POC]

    漏洞类型 未授权敏感信息泄露 发现时间 2023/8/12 漏洞等级 高危 MPS编号 MPS-3mwt-574l CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 企业微信私有化2.5.x版本及2.6.930000版本以下后台中存在接口未授权访问漏洞,攻击者通过访问/cgi-bin/gateway/agentinfo接口可获得Secr…

    2023年9月1日
    0
  • Apache James Server JMX端点暴露 反序列化漏洞 (CVE-2023-51518)

    漏洞类型 反序列化 发现时间 2024-02-27 漏洞等级 低危 MPS编号 MPS-f8st-hpv7 CVE编号 CVE-2023-51518 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache James 提供 在 JVM 上运行的完整、稳定、安全和可扩展的邮件服务器。 Apache James 服务器中 JMX 端点在认证前对未经验证的数据…

    2024年2月28日
    0