一、基本情况

Apache Kafka是一个分布式数据流处理平台，可以实时发布、订阅、存储和处理数据流。Kafka Connect是一种用于在kafka和其他系统之间可扩展、可靠的流式传输数据的工具。
二、漏洞描述

2023年2月21日公司监测到Apache官方发布了Apache Kafka Connect远程代码执行漏洞风险通告。Apache Kafka是一个分布式数据流处理平台，可以实时发布、订阅、存储和处理数据流。Kafka Connect是一种用于在kafka和其他系统之间可扩展、可靠的流式传输数据的工具。攻击者可以利用基于SASLJAAS 配置和SASL 协议的任意Kafka客户端，对Kafka Connect worker 创建或修改连接器时，通过构造特殊的配置，进行JNDI 注入来实现远程代码执行。

漏洞等级：严重

三、影响范围

2.3.0<=Apache Kafka<=3.3.2

四、修复建议

目前官方已发布安全修复版本，建议广大用户通过以下链接及时将Apache Kafka更新到3.4.0版本。

https://kafka.apache.org/downloads

五、参考链接

https://www.chaosec.com/?p=1364

https://kafka.apache.org/documentation.html#connect