【漏洞通告】Apache Kafka任意文件读取与SSRF漏洞（CVE-2025-27817）

阅读： 25

通告编号:NS-2025-0032

TAG： Apache Kafka、任意文件读取、CVE-2025-27817
漏洞危害： 攻击者利用此漏洞，可实现任意文件读取。
版本： 1.0

1 漏洞概述

近日，绿盟科技CERT监测到Apache发布安全公告，修复了Apache Kafka中的任意文件读取与SSRF漏洞（CVE-2025-27817）；由于Apache Kafka客户端未对用户输入进行严格验证和限制，未经身份验证的攻击者可通过构造恶意配置读取环境变量或磁盘任意内容，或向非预期位置发送请求，提升REST API的文件系统/环境/URL访问权限。目前已有细节披露，请相关用户尽快采取措施进行防护。

Kafka是由Apache软件基金会开发的一个开源分布式事件流处理平台，由Scala和Java编写。该项目的目标是为处理实时数据提供一个统一、高吞吐、低延迟的平台。

参考链接：

https://www.mail-archive.com/announce@apache.org/msg10119.html  

 

2 影响范围

受影响版本

  • 3.1.0 <= Apache Kafka <= 3.9.0

不受影响版本

  • Apache Kafka >= 3.9.1
 

3 漏洞防护

3.1 官方升级

目前官方已发布新版本修复此漏洞，建议受影响的用户及时升级防护，下载链接：

https://github.com/apache/kafka/tags

3.2 临时防护错误

1、相关用户可使用安全防护设备对包含敏感文件路径的/connectors请求进行拦截；

2、在不影响业务的情况下，可对Kafka Connect实例进行访问限制。

 

END

声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

Spread the word. Share this post!

Meet The Author