Apache Kafka 4.2.2/4.3.2 修复配置提供者敏感值泄露漏洞
CVE-2026-116593: Apache Kafka: Kafka Connect configuration provider values exposed via validation REST API endpoint
Kafka 集群若使用配置提供者管理密钥，升级前必须检查并修复此漏洞，防止敏感凭证通过验证接口泄露。
Posted by Manikumar on Oct 28
由 Manikumar 发布于 10 月 28 日
Severity: moderate
严重程度：中等
Affected versions:
受影响版本：
- Apache Kafka 2.4.0 before 4.2.2
- Apache Kafka 4.3.0 before 4.3.2
- Apache Kafka 4.2.2 之前的 2.4.0 版本
- Apache Kafka 4.3.2 之前的 4.3.0 版本
Description:
描述：
Apache Kafka Connect has the
Apache Kafka Connect 在其
/connector-plugins/{connector-type}/config/validate endpoint on its
REST API 上提供了
REST API to validate connector configurations.
/connector-plugins/{connector-type}/config/validate 端点，用于验证连接器配置。
Apache Kafka Connect also support Configuration Providers which enable
Apache Kafka Connect 还支持配置提供程序（Configuration Providers），这些提供程序能够
to hide the values of sensitive configuration and only resolve them at
隐藏敏感配置的值，并仅在
runtime.
运行时解析它们。
An attacker with access to the...
拥有访问权限的攻击者可以...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力