Apache Kafka 4.1-4.3 JWT签名验证绕过漏洞
CVE-2026-110985: Apache Kafka: Broker silently skips JWT signature verification for SASL/OAUTHBEARER when the JWKS endpoint URL is not configured
Kafka 用户必须立即检查是否使用了 SASL/OAUTHBEARER 且未配置 JWKS endpoint，若存在此配置则面临身份验证绕过风险，建议尽快升级或调整配置。
Posted by Manikumar on Oct 28
由 Manikumar 发布于 10 月 28 日
Severity: important
严重程度：重要
Affected versions:
受影响版本：
- Apache Kafka 4.1.0 through 4.1.2
- Apache Kafka 4.2.0 through 4.2.1
- Apache Kafka 4.3.0
- Apache Kafka 4.1.0 至 4.1.2
- Apache Kafka 4.2.0 至 4.2.1
- Apache Kafka 4.3.0
Description:
描述：
A Kafka broker using SASL/OAUTHBEARER with the default validator
使用 SASL/OAUTHBEARER 且默认验证器的 Kafka 代理
(sasl.oauthbearer.jwt.validator.class=DefaultJwtValidator) selects its
(sasl.oauthbearer.jwt.validator.class=DefaultJwtValidator) 从配置中选择其
implementation from configuration. When
实现。当
sasl.oauthbearer.jwks.endpoint.url is set, the validator verifies the
设置 sasl.oauthbearer.jwks.endpoint.url 时，验证器会验证 JWT 签名。当该 URL 未设置（默认情况）且...
JWT signature. When that URL is unset (the default) and...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力