在Kafka UI中获取远程代码执行的三种方式
内容提要
Kafka UI是一个流行的开源Web应用程序，用于管理和监控Apache Kafka集群。作者发现了Kafka UI的三个远程代码执行（RCE）漏洞，并分享了他的发现。这些漏洞已在0.7.2版本中修复。作者建议用户及时升级到修复版本。
延伸解读
默认配置的安全隐患
Kafka UI 在默认配置下不要求身份验证，即可读写数据。这导致许多实例在内网甚至公网暴露，可能成为攻击者进入内网的跳板。即使数据不敏感，攻击者也能利用此入口进一步渗透。
三个RCE漏洞的利用条件
CVE-2023-52251 利用消息过滤的 Groovy 脚本执行，需要至少一个包含消息的主题；CVE-2024-32030 和 CVE-2023-25194 则要求 dynamic.config.enabled 为 true，允许通过 API 动态修改配置。这些条件在不少部署中可能被满足。
修复与缓解措施
所有漏洞已在 0.7.2 版本修复，用户应尽快升级。对于 JMX 反序列化问题，即使升级后，仍建议使用 jdk.serialFilter 限制可反序列化的类，以降低风险。
Java特性带来的风险
Kafka UI 使用了 Groovy 脚本、JMX 和 SASL JAAS 等强大 Java 特性，这些特性在处理用户输入时若未严格限制，容易被滥用导致 RCE。尽管 JDK 已加强防护，但在特定条件下仍可能被利用。
Q&A
Kafka UI存在哪些远程代码执行漏洞？
Kafka UI存在三个远程代码执行漏洞，分别是CVE-2023-52251、CVE-2024-32030和CVE-2023-25194。
如何防止Kafka UI的远程代码执行漏洞？
建议用户及时升级到Kafka UI的0.7.2版本，以修复已知的远程代码执行漏洞。
CVE-2023-52251漏洞是如何被利用的？
CVE-2023-52251漏洞允许攻击者通过Groovy脚本执行任意代码，利用消息过滤功能进行攻击。
Kafka UI的默认配置有什么安全隐患？
Kafka UI的默认配置不需要身份验证，导致许多实例未受保护，可能被攻击者利用。
CVE-2024-32030漏洞的攻击方式是什么？
CVE-2024-32030漏洞允许攻击者通过JMX连接器连接到任意JMX服务器，利用反序列化攻击进行远程代码执行。
Kafka UI的哪些功能可能导致安全风险？
Kafka UI使用了Groovy脚本、JMX和SASL JAAS等功能，这些强大的Java特性在处理用户输入时需谨慎，以防止滥用。
