一、漏洞概要

二、漏洞分析

2.1组件介绍

ApacheKafka是一个开源分布式事件流平台，被数千家公司用于高性能数据管道、流分析、数据集成和任务关键型应用程序。

2.2漏洞描述

2024年5月8日，深瞳漏洞实验室监测到一则Apache-Kafka组件存在访问控制错误漏洞的信息，漏洞编号：CVE-2024-27309，漏洞威胁等级：高危。

ApacheKafka中存在一个访问控制漏洞，当ApacheKafka集群从ZooKeeper模式迁移到KRaft模式时，如果管理员删除ACL（访问控制列表），并且与删除的ACL相关联的资源在删除后仍有两个以上其他ACL关联时，将导致ACL可能无法正确执行，该漏洞可能导致未授权访问和拒绝服务攻击。

三、影响范围

目前受影响的ApacheKafka版本：

3.5.0≤Kafka≤3.5.2

3.6.0≤Kafka≤3.6.1

官方修复建议

目前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。