CVE-2026-116593

WysokieCVSS 8.1

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

Podatność w Apache Kafka Connect dotyczy endpointu REST API /connector-plugins/{connector-type}/config/validate, który służy do walidacji konfiguracji connectorów. Atakujący z dostępem do tego endpointu może wykorzystać zainstalowane Configuration Providers do ujawnienia wartości wrażliwych konfiguracji w postaci jawnej, mimo że powinny być one rozwiązywane dopiero w czasie działania.

Ocena ryzyka

Ujawnienie wrażliwych danych konfiguracyjnych (np. haseł, kluczy API) osobom mającym dostęp do REST API Connect może prowadzić do przejęcia poświadczeń i dalszej eskalacji ataku w środowisku.

Rekomendacja

Zaktualizuj Apache Kafka Connect do wersji 4.2.2, 4.3.2, 4.4.0 lub nowszej, które naprawiają tę podatność. Ogranicz dostęp do REST API Connect do zaufanych sieci i użytkowników.

Inne podatności w Apache Kafka Connect

CVE-2026-115644Wysokie
Apache Kafka Connect zawiera podatność polegającą na obejściu uwierzytelniania w administracyjnym API REST, gdy właściwość admin.listeners jest skonfigurowana jako oddzielny listener od głównego listeners. Rozszerzenia REST zdefiniowane w rest.extension.classes (np. BasicAuthSecurityRestExtension) nie są rejestrowane ani stosowane do konfiguracji zasobów administracyjnych, przez co endpoint /admin/loggers akceptuje nieuwierzytelnione żądania odczytu i zapisu.

Oryginalny opis (angielski, źródło NVD)

Apache Kafka Connect has the /connector-plugins/{connector-type}/config/validate endpoint on its REST API to validate connector configurations. Apache Kafka Connect also support Configuration Providers which enable to hide the values of sensitive configuration and only resolve them at runtime. An attacker with access to the validate endpoint can use it to resolve and return plaintext values via any of the configuration providers installed on a Connect worker. Users are recommended to upgrade to version 4.2.2, 4.3.2, 4.4.0 or above, which fix this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS