CVE-2026-33557criticalCWE-1285CWE-303

CVE-2026-33557: falha crítica em Apache Kafka

Apache Kafka: Missing JWT token validation in OAUTHBEARER authentication

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache Kafka+ Monitorar org.apache.kafka:kafka-clients

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.1epss 0.9%
Em resumo

A autenticação padrão do Apache Kafka não valida adequadamente tokens JWT, permitindo que invasores criem tokens falsificados e acessem o broker com qualquer nome de usuário.

Detalhe técnico

O DefaultJwtValidator no mecanismo OAUTHBEARER do Apache Kafka não valida assinaturas, emissor ou audiência dos tokens JWT. Um atacante não autenticado pode criar tokens JWT arbitrários com identidades falsificadas e autenticar como qualquer usuário sem verificação criptográfica. Isso contorna controles de acesso nas versões afetadas (4.1.0, 4.1.1).

Resumo gerado e traduzido por IA a partir da descrição oficial.
A possible security vulnerability has been identified in Apache Kafka. By default, the broker property `sasl.oauthbearer.jwt.validator.class` is set to `org.apache.kafka.common.security.oauthbearer.DefaultJwtValidator`. It accepts any JWT token without validating its signature, issuer, or audience. An attacker can generate a JWT token from any issuer with the `preferred_username` set to any user, and the broker will accept it. We advise the Kafka users using kafka v4.1.0 or v4.1.1 to set the config `sasl.oauthbearer.jwt.validator.class` to `org.apache.kafka.common.security.oauthbearer.BrokerJwtValidator` explicitly to avoid this vulnerability. Since Kafka v4.1.2 and v4.2.0 and later, the issue is fixed and will correctly validate the JWT token.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Produtos afetados
Apache Software Foundation · Apache Kafka
CVEs relacionadas — Apache Kafka

No mesmo produto, das mais perigosas para as menos.

CVE-2021-38153—Timing Attack Vulnerability for Apache Kafka Connect and ClientsEPSS 6.2%CVE-2018-1288—CVE-2018-1288EPSS 4.8%CVE-2017-12610—CVE-2017-12610EPSS 2.9%CVE-2022-34917HIGHUnauthenticated clients may cause OutOfMemoryError on Apache Kafka BrokersEPSS 1.5%CVE-2024-27309HIGHApache Kafka: Potential incorrect access control during migration from ZK mode to KRaft modeEPSS 1.1%CVE-2025-27818HIGHApache Kafka: Possible RCE attack via SASL JAAS LdapLoginModule configurationEPSS 1.1%