개요
Kafka-ui 제품에서 발생하는 취약점을 해결하는 업데이트를 발표하였습니다. 해당하는 버전 사용자는 최신 버전으로 업데이트하시기 바랍니다.
대상 제품
CVE-2023-52251
- Kafka-ui 버전 : 0.4.0(포함) ~0.7.1(포함)
CVE-2024-32030 (다음 중 하나가 발생하는 배포에 영향을 미침)
- dynamic.config.enabled 속성을 설정하는 경우
- 공격자가 Kafka UI에 연결되는 Kafka 클러스터에 액세스할 수 있는 경우
해결된 취약점
Kafka-ui에서 발생하는 메시지 필터링의 Groovy 스크립트 필터 실행을 통한 임의 코드 실행 취약점 (CVE-2023-52251)
Kafka-ui에서 발생하는 JMX 메트릭 컬렉션에서 JNDI 확인을 통한 임의 코드 실행 취약점 (CVE-2024-32030)
취약점 패치
최신 업데이트를 통해 취약점 패치가 제공되었습니다. 참고 사이트의 안내에 따라 최신 취약점 패치 버전으로 업데이트 하시기 바랍니다.
CVE-2023-52251, CVE-2024-32030
- Kafka-ui 버전 : 0.7.2
참고 사이트
[1] CVE-2023-52251 Detail
https://nvd.nist.gov/vuln/detail/CVE-2023-52251
[2] CVE-2023-52251-POC
https://github.com/BobTheShoplifter/CVE-2023-52251-POC
[3] GHSL-2023-229_GHSL-2023-230: Remote code execution (RCE) in UI for Apache Kafka – CVE-2023-52251, CVE-2024-32030
https://securitylab.github.com/advisories/GHSL-2023-229_GHSL-2023-230_kafka-ui/
[4] CVE-2024-32030 Detail