【漏洞通告】Apache Kafka UI代码执行漏洞

01 漏洞概况

Kafka UI API允许用户通过指定网络地址和端口来连接到不同的Kafka brokers，并提供了通过连接到其JMX端口来监控Kafka brokers性能的功能，JMX基于RMI协议，因此可能容易受到反序列化攻击，且Kafka-UI 默认未启用身份验证，威胁者可创建一个恶意JMX侦听器为任何RMI调用返回恶意序列化对象，成功利用该漏洞可能导致远程代码执行。

02 漏洞处置

综合处置优先级：高

漏洞信息	漏洞名称	Apache Kafka UI代码执行漏
漏洞编号	CVE编号	CVE-2024-32030‍
漏洞评估	披露时间	2024-06-24
	漏洞类型	代码注入
	危害评级	高危
	公开程度	PoC已公开
	威胁类型	远程
利用情报	在野利用	否
影响产品	产品名称	UI for Apache Kafka
	受影响版本	UI for Apache Kafka < 0.7.2
	影响范围	广
	有无修复补丁	有

03 漏洞排查

用户尽快排查应用系统UI for Apache Kafka应用版本是否小于0.7.2。若存在应用使用，极大可能会受到影响。

04 修复方案

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://github.com/provectus/kafka-ui/tags

05 时间线

  2024.06.24 厂商发布安全补丁

      2024.06.26 安迈信科安全运营团队发布通告