压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

01?漏洞詳情

影響組件

Kafka UI 是用于 Apache Kafka Management 的開(kāi)源 Web UI。Kafka UI API 允許用戶(hù)通過(guò)指定網(wǎng)絡(luò)地址和端口連接到不同的 Kafka 代理。作為一項(xiàng)單獨(dú)的功能，它還提供了通過(guò)連接到其 JMX 端口來(lái)監(jiān)控 Kafka 代理性能的功能。

漏洞描述

近日，奇安信CERT監(jiān)測(cè)到官方修復(fù)Apache Kafka UI 遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2024-32030)，Kafka UI API 提供了一種功能，允許用戶(hù)連接到不同的 Kafka 代理并監(jiān)控它們的表現(xiàn)。這個(gè)功能存在一個(gè)安全漏洞，攻擊者可以利用 JMX 的 RMI 協(xié)議進(jìn)行反序列化攻擊。如果攻擊者能夠設(shè)置一個(gè)惡意的 JMX 監(jiān)聽(tīng)器，當(dāng) Kafka UI 嘗試連接并獲取監(jiān)控?cái)?shù)據(jù)時(shí)，攻擊者可以發(fā)送一個(gè)惡意的序列化對(duì)象，導(dǎo)致 Kafka UI 執(zhí)行遠(yuǎn)程代碼。目前該漏洞技術(shù)細(xì)節(jié)與EXP已在互聯(lián)網(wǎng)上公開(kāi)，鑒于該漏洞影響范圍較大，建議客戶(hù)盡快做好自查及防護(hù)。

02?影響范圍

影響版本

Kafka UI <= 0.7.1

其他受影響組件

無(wú)

03?受影響資產(chǎn)情況

奇安信鷹圖資產(chǎn)測(cè)繪平臺(tái)數(shù)據(jù)顯示，Apache Kafka UI 遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2024-32030)關(guān)聯(lián)的國(guó)內(nèi)風(fēng)險(xiǎn)資產(chǎn)總數(shù)為3339個(gè)，關(guān)聯(lián)IP總數(shù)為1241個(gè)。國(guó)內(nèi)風(fēng)險(xiǎn)資產(chǎn)分布情況如下：

Apache Kafka UI 遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2024-32030)關(guān)聯(lián)的全球風(fēng)險(xiǎn)資產(chǎn)總數(shù)為15426個(gè)，關(guān)聯(lián)IP總數(shù)為3906個(gè)。全球風(fēng)險(xiǎn)資產(chǎn)分布情況如下：

04?處置建議

安全更新

目前官方已有可更新版本，建議受影響用戶(hù)升級(jí)至最新版本：

Kafka UI >= 0.7.2

官方補(bǔ)丁下載地址：

https://github.com/provectus/kafka-ui/releases/tag/v0.7.2

緩解方案：

1.Kafka UI 啟用身份驗(yàn)證，確保只有授權(quán)用戶(hù)可以訪(fǎng)問(wèn)；

2.暫時(shí)禁用 Kafka Ul 的 JMX 連接功能，直到更新至不受影響的版本。

05?參考資料

[1]https://securitylab.github.com/advisories/GHSL-2023-229_GHSL-2023-230_kafka-ui/

[2]https://github.com/provectus/kafka-ui/commit/83b5a60cc08501b570a0c4d0b4cdfceb1b88d6b7#diff-37e769f4709c1e78c076a5949bbcead74e969725bfd89c7c4ba6d6f229a411e6R36

[3]https://github.com/provectus/kafka-ui/pull/4427

聲明：本文來(lái)自奇安信 CERT