EFAK: Fehlende Autorisierung in der Benutzerverwaltungs-API /api/users

Zusammenfassung

EFAK (Eagle For Apache Kafka) bis Version 5.1.0 prüft auf den Endpunkten /api/users nicht, ob der Benutzer die Administratorrolle besitzt. Ein authentifizierter Benutzer mit niedrigen Berechtigungen kann per POST-, PUT- oder DELETE-Anfragen sich selbst die Rolle ROLE_ADMIN zuweisen, Administratoren anlegen oder Benutzer löschen. Dadurch erlangt ein Angreifer die Kontrolle über die von EFAK verwalteten Kafka-Cluster; eine korrigierte Version ist noch nicht bekannt.

Betroffen

• EFAK 5.0.0 bis 5.1.0 gemäss CVE-Eintrag (CNA: VulnCheck)
• Die CVE-Beschreibung nennt "bis 5.1.0"; ob Versionen vor 5.0.0 betroffen sind, ist unbekannt.

Behoben in

Unbekannt.

Umgehung

Kein Workaround des Herstellers gefunden.

• Den Zugriff auf /api/users an einem Reverse Proxy einschränken oder auf Administrator-Netze begrenzen.
• EFAK nicht aus dem Internet erreichbar machen; Zugriff nur über VPN oder ein internes Netz.
• Nicht benötigte Konten entfernen und Zugangsdaten für gemeinsam genutzte Logins erneuern.

Ausnutzung

• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• Nicht als aktiv ausgenutzt (KEV) gelistet; keine Ausnutzung in freier Wildbahn gefunden.
• Ein Drittanbieter-Bericht und ein VulnCheck-Advisory werden referenziert; ob sie einen funktionierenden Proof of Concept enthalten, ist nicht verifiziert.

Unsere Empfehlung

• Prüfen, ob EFAK in Ihrer Umgebung läuft und welche Versionen eingesetzt werden.
• Alle Konten jetzt auf unerwartete Administratorrollen oder unbekannte Benutzer prüfen.
• Netzwerkzugriff auf EFAK und auf /api/users einschränken.
• Aufrufe der Benutzerverwaltungs-API protokollieren und Alarme einrichten.
• Die in EFAK gespeicherten Kafka-Zugangsdaten auf das für das Monitoring Nötige beschränken.
• Eine korrigierte Version installieren, sobald der Hersteller eine veröffentlicht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• EFAK GitHub repository github.com
• UserController.java at v5.1.0 github.com
• WebSecurityConfig.java at v5.1.0 github.com
• VulnCheck advisory www.vulncheck.com
• HackMD write-up hackmd.io
• VulDB entry vuldb.com
• EFAK security page github.com
• CVE record mirror (threatint) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:13.