UCloud-202404-003:Apache Kafka访问控制不当漏洞安全警告
- 发布时间
- 更新时间
- 2024-04-15
- 漏洞等级
- High
- CVE编号
- CVE-2024-27309
漏洞详情
近日监测到ApacheKafka中存在一个访问控制不当严重漏洞（CVE-2024-27309）,Apache Kafka受影响版本中,当Apache Kafka集群从ZooKeeper模式迁移到KRaft模式时，如果管理员删除ACL（访问控制列表）,并且与删除的ACL相关联的资源在删除后仍有两个或更多其他ACL关联时,Kafka会将该资源视为在删除后仅具有一个与其关联的 ACL,导致ACL可能无法正确执行，该漏洞可能导致访问控制失效或未授权访问、拒绝服务攻击、合法用户无法正常访问等。
影响范围
Apache Kafka 3.5.0
Apache Kafka 3.5.1
Apache Kafka 3.5.2
Apache Kafka 3.6.0
Apache Kafka 3.6.1
修复方案
注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
1.目前，官方已有可更新版本，建议用户尽快更新到安全版本：
Apache Kafka 3.7.0
2.缓解措施
通过删除ZK模式下的所有代理或向受影响的资源添加新的ACL可以清除不正确的情况,迁移完成后元数据不会丢失（ACL全部保留）