Kafka UI中获取远程代码执行的3种方法
原文英文，约2100词，阅读约需8分钟。
📝
内容提要
Kafka UI是一个流行的开源Web应用程序，用于管理和监控Apache Kafka集群。作者发现了Kafka UI中的三个远程代码执行（RCE）漏洞，并分享了他的发现。这些漏洞已在0.7.2版本中修复。作者建议用户及时升级到修复的版本。
❓
Q&A
Kafka UI的主要功能是什么？
Kafka UI是一个开源Web应用程序，用于管理和监控Apache Kafka集群。
Kafka UI中发现了哪些远程代码执行漏洞？
发现了三个漏洞：CVE-2023-52251、CVE-2024-32030和CVE-2023-25194。
如何防止Kafka UI中的安全漏洞？
建议用户及时升级到0.7.2版本，并对用户输入进行严格限制。
CVE-2023-52251漏洞是如何被利用的？
攻击者可以通过Groovy脚本执行任意代码，利用消息过滤功能进行攻击。
Kafka UI的默认配置有什么安全隐患？
在默认配置下，Kafka UI不需要身份验证，导致许多实例未受保护。
Kafka UI的安全性依赖于什么？
Kafka UI的安全性依赖于对用户输入的严格限制，特别是在使用Groovy脚本和JMX等功能时。
🏷️
