Streams for Apache Kafka Cruise Control: Authentifizierungsumgehung über Pfadsegment
Zusammenfassung
Cruise Control, die Komponente zur Verwaltung von Kafka-Clustern in Red Hat Streams for Apache Kafka 2 und 3, lässt sich dazu bringen, ihre Authentifizierungsprüfungen zu überspringen, wenn ein zusätzliches Pfadsegment in einer Anfrage enthalten ist. Der Servlet leitet die Anfrage anschliessend an administrative Endpunkte weiter, sodass ein nicht authentifizierter Aufrufer sensitive Cluster-Operationen wie das Rebalancing ausführen kann. Der Angreifer benötigt Netzwerkzugriff auf den Cruise-Control-Port 9090; Red Hat stuft die Auswirkung als Important ein, weil die NetworkPolicy des Strimzi-Operators diesen Port normalerweise auf Operator-Pods beschränkt.
Betroffen
- Cruise Control for Apache Kafka 2.0.82 bis vor 3.1.0 (upstream)
- Red Hat Streams for Apache Kafka 2 (Standard: betroffen)
- Red Hat Streams for Apache Kafka 3 (Standard: betroffen)
Behoben in
- Cruise Control for Apache Kafka 3.1.0 (upstream)
- Red Hat Paket-Builds mit Fix für Streams for Apache Kafka 2 und 3: Unbekannt.
Umgehung
- Prüfen, ob eine Strimzi-NetworkPolicy existiert, die Cruise-Control-Port 9090 auf Operator-Pods beschränkt, und bestätigen, dass das CNI der Cluster-Umgebung diese NetworkPolicy durchsetzt.
- Cruise-Control-Port 9090 nicht über Ingress oder Route exponieren.
- Bestätigen, dass TLS auf dem HTTP-Endpunkt von Cruise Control aktiviert ist (Strimzi-Standard).
- Für eigenständige Cruise-Control-Installationen einen Reverse Proxy zur Pfadnormalisierung einsetzen und Port 9090 per Firewall einschränken.
- Aufrufe administrativer Endpunkte an ein SIEM weiterleiten, um unautorisierte Aktionen zu erkennen.
- Diese Massnahmen reduzieren die Exposition, beheben die Schwachstelle jedoch nicht.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- Kein verifizierter öffentlicher Proof of Concept.
Unsere Empfehlung
- Prüfen, ob Cruise Control oder Strimzi eingesetzt wird.
- Bestätigen, dass Port 9090 durch eine durchgesetzte NetworkPolicy nur für Operator-Pods erreichbar ist.
- Den Herstellerfix einspielen, sobald der Red-Hat-Paket-Build bestätigt ist, oder Upstream-Cruise-Control auf Version 3.1.0 oder neuer aktualisieren.
- Aufrufe administrativer Endpunkte bis zur Behebung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-105949 access.redhat.com
- Red Hat Bugzilla 2510878 bugzilla.redhat.com
- Upstream fix commit github.com
- Red Hat Hydra security data access.redhat.com
- Vulners CVE entry vulners.com
- OpenCVE entry app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.