阿里云漏洞库

高危 Apache Kafka Connect 远程代码执行漏洞（CVE-2023-25194）

CVE编号

CVE-2023-25194

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2023-02-08

漏洞描述

2023年2月8日，Apache发布安全公告，修复了一个存在于 Apache Kafka中的反序列化漏洞。漏洞编号：CVE-2023-25194

攻击者在可以控制Apache Kafka Connect 客户端的情况下，可通过SASL JAAS 配置和基于 SASL 的安全协议在其上创建或修改连接器，触发JNDI代码执行漏洞。

Apache Kafka Connect 属于底层组件依赖，其前提利用条件需要视具体应用环境。

如您在使用阿里云E-MapReduce集群，可根据EMR漏洞公告查看受漏洞影响的产品版本范围。如产品版本不受影响或已根据修复流程进行了漏洞修复，则可忽略当前漏洞。具体可见 https://help.aliyun.com/zh/emr/emr-on-ecs/product-overview/vulnerability-notice-apache-kafka-connect-remote-code-execution-vulnerability

影响版本：

2.3.0 <= Apache Kafka <= 3.3.2

解决建议

官方已经发布安全更新 3.4.0，建议升级至安全版本。

参考链接
http://packetstormsecurity.com/files/173151/Apache-Druid-JNDI-Injection-Remot...
https://kafka.apache.org/cve-list
https://lists.apache.org/thread/vy1c7fqcdqvq5grcqp6q5jyyb302khyz

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	apache	kafka	*	From (including) 2.3.0	Up to (including) 3.3.2

攻击路径

本地
攻击复杂度

容易
权限要求

无需权限
影响范围

全局影响
EXP成熟度

POC 已公开
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

传输被破坏
服务器危害

服务器失陷
全网数量

N/A

CWE-ID	漏洞类型
CWE-502	可信数据的反序列化

高危 Apache Kafka Connect 远程代码执行漏洞（CVE-2023-25194）

漏洞描述

解决建议

参考链接

受影响软件情况