CVE-2026-42316mediumCWE-943

CVE-2026-42316: fallo de gravedad media en Azure kafka-sink-azure-kusto

KQL injection via kusto.tables.topics.mapping in kafka-sink-azure-kusto

Publicada el

Seguir esta CVE+ Monitorear kafka-sink-azure-kusto

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.9epss 0.3%
En resumen

El conector Kafka para Azure Data Explorer (Kusto) no validaba adecuadamente los valores de configuración, permitiendo a alguien con acceso a la configuración del conector inyectar comandos maliciosos para modificar esquemas de bases de datos, alterar reglas de ingesta o cambiar políticas de la base de datos.

Detalle técnico

Vulnerabilidad de inyección KQL en la configuración kusto.tables.topics.mapping debido a interpolación insegura mediante String.formatted() de campos controlados por el usuario (db, table, mapping, format) en comandos KQL. Un actor con privilegios de configuración de Kafka Connect puede inyectar metacaracteres KQL (;, |, ') para ejecutar comandos de gestión arbitrarios bajo el contexto de la entidad de servicio del conector, permitiendo enumeración/modificación de esquema, alteración de mapeamientos de ingesta y cambios de políticas en Azure Data Explorer.

Resumen generado y traducido por IA a partir de la descripción oficial.
kafka-sink-azure-kusto Kafka Connect plugin is the official Microsoft sink for Azure Data Explorer (Kusto). Prior to 5.2.3, kafka-sink-azure-kusto did not sanitize user-controlled values inside the kusto.tables.topics.mapping configuration. The db, table, mapping, and format fields of each mapping entry were interpolated directly into KQL management/query commands via String.formatted(...) (e.g., FETCH_TABLE_COMMAND.formatted(table) → "<table> | count", FETCH_TABLE_MAPPING_COMMAND.formatted(table, format, mapping) → ".show table <table> ingestion <format> mapping '<mapping>'"). An actor able to influence the connector configuration (for example, someone with permissions to submit or edit Kafka Connect connector configs) could embed KQL metacharacters (;, |, ') to execute arbitrary management commands in the context of the connector's service principal — enabling schema enumeration/modification, ingestion-mapping tampering, or changes to streaming/retention policies on the target Azure Data Explorer database. This is a tampering vulnerability. Exploitation requires privileged access to the connector configuration; no end-user interaction or Kafka record payload is involved. This vulnerability is fixed in 5.2.3.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N/E:P/RL:O/RC:C
Productos afectados
Azure · kafka-sink-azure-kusto