KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2023-25194 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
2023年2月8日，Apache发布安全公告，修复了一个存在于 Apache Kafka中的反序列化漏洞。漏洞编号：CVE-2023-25194
攻击者在可以控制Apache Kafka Connect 客户端的情况下，可通过SASL JAAS 配置和基于 SASL 的安全协议在其上创建或修改连接器，触发JNDI代码执行漏洞。
Apache Kafka Connect 属于底层组件依赖，其前提利用条件需要视具体应用环境。
如您在使用KnowSafeE-MapReduce集群，可根据EMR漏洞公告查看受漏洞影响的产品版本范围。如产品版本不受影响或已根据修复流程进行了漏洞修复，则可忽略当前漏洞。具体可见 https://help.aliyun.com/zh/emr/emr-on-ecs/product-overview/vulnerability-notice-apache-kafka-connect-remote-code-execution-vulnerability
影响版本：
2.3.0 <= Apache Kafka <= 3.3.2
影响范围
应用：apache kafka（影响面 Up to (including) 3.3.2）
解决方案
官方已经发布安全更新 3.4.0，建议升级至安全版本。
参考信息
http://packetstormsecurity.com/files/173151/Apache-Druid-JNDI-Injection-Remote-Code-Execution.html
https://kafka.apache.org/cve-list
https://lists.apache.org/thread/vy1c7fqcdqvq5grcqp6q5jyyb302khyz
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。