奇安信攻防社区-全网首发！CVE-2025-27817 Apache Kafka Client 任意文件读取与SSRF 漏洞分析复现

全网首发！CVE-2025-27817 Apache Kafka Client 任意文件读取与SSRF 漏洞分析复现

CVE-2025-27817

CVE-2025-27817
==============

一、漏洞成因
------

该漏洞源于Apache Kafka Client在配置SASL/OAUTHBEARER连接时，对sasl.oauthbearer.token.endpoint.url和sasl.oauthbearer.jwks.endpoint.url参数的安全控制存在缺陷。攻击者可通过构造恶意URL参数，利用该缺陷实现任意文件读取或发起SSRF请求（访问非预期目标地址）。

二、影响版本
------

3.1.0 &lt;= Apache Kafka &lt;= 3.9.0

三、漏洞复现
------

![Image 2025-6-12 at 16.03.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-8d723305d0d9ac64771080823b76371143323747.jpg)  
![IMG_3887.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-bdefaf3cde276e527723ee01c747aa9c32edb46e.jpg)

四、漏洞分析
------

根据漏洞触发点所对应的路由 connectors，可定位至以下相关代码：

![Image 2025-6-11 at 20.47.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-918c777c4d71a07953bc55f9e39162c3056b6261.jpg)

147-152行代码对传入的信息处理，以及创建示例等，漏洞入口是：

```java
herder.putConnectorConfig(name, configs, createRequest.initialTargetState(), false, cb);
```

继续跟进putConnectorConfig方法，  
这里会跟到两个类：*StandaloneHerder* 和 *DistributedHerder*,之前说的修复点也确实是这里，基本可以确定这是入口点，我们看*DistributedHerder*吧

```java
@Override
public void putConnectorConfig(final String connName, final Map config, final TargetState targetState,
                               final boolean allowReplace, final Callback&gt; callback) {
    log.trace("Submitting connector config write request {}", connName);
    addRequest(
        () -&gt; {
            doPutConnectorConfig(connName, config, targetState, allowReplace, callback);
            return null;
        },
        forwardErrorAndTickThreadStages(callback)
    );
}
```

继续跟进*doPutConnectorConfig*方法，这里的config，就是先前connector路由传的json数据

![Image 2025-6-11 at 22.59.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-62b02999c2169a3ed7ea2c57987fe62976ca492b.jpg)  
然后跟进validateConnectorConfig方法

![Image 2025-6-11 at 23.00.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-1f36b347da4fcf6a343d365a51670177c9b35484.jpg)

![Image 2025-6-11 at 23.02.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-a5b4ccc40063d5969482a08bcd02ee769176df0c.jpg)进入validateConnectorConfig方法，到现在，逻辑检验都是普通的，所以就不多赘述了,继续跟进

![Image 2025-6-11 at 23.07.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-25478732030fcade4cb475d2a3808f17f8bfd926.jpg)  
调用了:

```java
    protected Connector getConnector(String connType) {
        return tempConnectors.computeIfAbsent(connType, k -&gt; plugins().newConnector(k));
    }
```

利用 plugins().newConnector() 动态加载类，例如：MirrorSourceConnector

![Image 2025-6-11 at 23.13.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-309ff61c2cee077682ba8e574dd8ce092287c9e0.jpg)  
这里可以看到根据json数据的config\['\***'\]=\*\***.MirrorSourceConnector调用MirrorSourceConnector这个Connector用于后续的执行

后续跟进的话可以看到通过反射调用Connector：

```java
Class&lt;?&gt; klass = loader.loadClass(classOrAlias, false);
```

回到AbstractHerder类，继续分析接下来的逻辑

![Image 2025-6-11 at 23.21.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-ec85af2d0a35ee70ba5a2d3a9bcddf55e46954c3.jpg)  
接下来就是确定connectorType为sink or source，然后对数据进行处理等，可以自己看

![Image 2025-6-11 at 23.20.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-d826f4e1117bafb14655ec3cfbca02512ac9f651.jpg)  
在`java config = connector.validate(connectorProps);`  
跟进：

```java
    @Override
    public org.apache.kafka.common.config.Config validate(Map props) {
        List configValues = super.validate(props).configValues();
        validateExactlyOnceConfigs(props, configValues);
        validateEmitOffsetSyncConfigs(props, configValues);

return new org.apache.kafka.common.config.Config(configValues);
    }
```

接下来进入到validate验证阶段，这里就很绕了，我们知道是MirrorSourceConnector这个Connector创建了Tasks，所以他肯定要进到这个方法

![Image 2025-6-12 at 00.07.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-3911c5a0509d990b6aa290d013d7f2e50d444406.jpg)  
可以看到过了validate初始验证，进入到start方法，继续跟进，由于漏洞触发点是认证相关，我们断点在认证的各个方法，一个一个看

![Image 2025-6-12 at 00.58 (1).jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-92401e881308607e0cb3d2ca8dd45ac327113ebc.jpg)  
这里进入到认证阶段forwardingAdmin

![Image 2025-6-12 at 01.05.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-80455e3f851c5a776893237931127a203b2a471a.jpg)  
实例化ForwardingAdmin实现类

![Image 2025-6-12 at 01.07.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-269e37d6a55515d09bd9ca1df011a716961ee881.jpg)  
通过json数据中的值：

```json
    "****": "SASL_PLAINTEXT",
    "****": "OAUTHBEARER",
    "****": "****.OAuthBearerLoginCallbackHandler",
```

来调用相关认证方法，然后调用create方法（漏洞触发点）

![Image 2025-6-12 at 01.10.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-3db358b627d784125f08b6c4d8857583cb53dae4.jpg)  
通过

```java
URL tokenEndpointUrl = cu.validateUrl(SASL_OAUTHBEARER_TOKEN_ENDPOINT_URL);
```

获取json中的*sasl.oauthbearer.token.endpoint.url*，继续跟进

![Image 2025-6-12 at 01.26.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-da37e56d8f13870a799309de11a016057625200a.jpg)  
这里可以看到`java accessTokenRetriever.retrieve();`返回了文件信息，我们向上追踪

![Image 2025-6-12 at 01.33.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-2b5a8b57ac86f3c0ed50fc142c30b974be62e354.jpg)  
发现需要传参，全局搜new FileTokenRetriever(

![Image 2025-6-12 at 01.35.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-2ecf81c3f4ae918d9925378b5575e3ebb65fb144.jpg)  
发现就在Create方法内，尴尬......

好，利用链如下：

```markdown
[1] 用户提交 Connector 配置请求（HTTP API）
    |
    |--&gt; REST API: Connect REST `/connectors` 接口处理 connector 配置
    |
[2] WorkerConfig / ConnectorConfig 解析配置（Map）
    |
[3] validateConnectorConfig(...) 进行 connector 配置验证
    |
[4] connector.config() -&gt; 返回 ConfigDef
    |
    |--&gt; connector.validate(...)（触发 MirrorSourceConnector.validate()）
           |
           |--&gt; validateExactlyOnceConfigs(...)
           |--&gt; validateEmitOffsetSyncConfigs(...)
    |
[5] connector.start(props)
    |
    |--&gt; new MirrorSourceConfig(props)
           |
           |--&gt; super(props) --&gt; AbstractConfig 初始化
           |
           |--&gt; createAdmin(...)（构造 ForwardingAdmin）
                  |
                  |--&gt; forwardingAdmin(config)
                          |
                          |--&gt; get(FORWARDING_ADMIN_CLASS)
                          |--&gt; Utils.newParameterizedInstance(...)
                          |
                          |--&gt; KafkaMirrorMakerClientBasedAdmin.create(...)
                                   |
                                   |--&gt; OAuthBearerLoginModule / SaslClientAuthenticator 初始化
                                          |
                                          |--&gt; AccessTokenRetriever.create(...)
                                                  |
                                                  |--&gt; cu.validateUrl(SASL_OAUTHBEARER_TOKEN_ENDPOINT_URL)
                                                  |
                                                  |--&gt; protocol == "file" ?
                                                        --&gt; new FileTokenRetriever(Path)
                                                              |
                                                              |--&gt; init()
                                                                      |
                                                                      |--&gt; Utils.readFileAsString(path)
                                                                                 |
                                                                                 |--&gt; Files.readAllBytes(...)
```

查看文件结果看这个路由：

![Image 2025-6-12 at 02.03.jpg](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-5cbe04c1f50fdcb2b23a9cce2282751885723fca.jpg)  
获取statusBackingStore中对应Connector的tasks，结果就在tasks\['trace'\]里，可以自己看看这个的逻辑，这里就不多说了

环境搭建
----

下载3.9.0源码包  
gradle构建一下，然后运行命令：

```sh
./bin/zookeeper-server-start.sh config/zookeeper.properties
./bin/kafka-server-start.sh config/server.properties
./bin/connect-distributed.sh config/connect-distributed.properties
```

这里的connect-distributed.sh如果需要用idea调试的话，最好在里面加上debug，用idea的jvm连接

五、修复方式
------

Standalone模式：修改connect-standalone.properties中的listeners或rest.host.name字段Distributed模式：修改connect-distributed.properties中的listeners或rest.host.name字段使用流量防护设备（如WAF、防火墙）拦截/connectors接口请求中携带敏感文件路径的恶意流量

END
---

DIFF一下，一眼就能发现3.9.1对uri进行了校验：

```java
// AccessTokenRetrieverFactory.java
public static AccessTokenRetriever create(Map<String, ?> configs, Map<String, Object> metadata) {
    ConfigurationUtils cu = new ConfigurationUtils(configs);
    cu.throwIfURLIsNotAllowed(SASL_OAUTHBEARER_TOKEN_ENDPOINT_URL);  // 新增校验
    // ...原有逻辑
}

// VerificationKeyResolverFactory.java
public static VerificationKeyResolver create(Map<String, ?> configs) {
    ConfigurationUtils cu = new ConfigurationUtils(configs);
    cu.throwIfURLIsNotAllowed(SASL_OAUTHBEARER_JWKS_ENDPOINT_URL);  // 新增校验
    // ...原有逻辑
}
```

漏洞点就是这个。好啦，结束。高中生，菜勿喷。

发表于 2025-06-12 16:11:17
阅读 ( 3600 )
分类：开发框架

3 条评论

GO 1秒前

小孩儿哥，看到你对漏洞分析那么熟悉，真是太厉害了！我想请教下，你当初是怎么一步步学起这些基础知识的？能不能简单分享一下你的学习路线和经验？我也想多学点，向你学习。

c铃儿响叮当 1秒前

你们都太有实力了

hahaha123 回复 c铃儿响叮当

带带弟弟

2025-06-21 01:55
回复

fulun 1秒前

这么强，真高中生吗，给孩子吓哭了