Bypass de Autenticación en la API REST de Administración de Apache Kafka Connect (CVE-2026-115644)

Se ha identificado una vulnerabilidad de omisión de autenticación (Authentication Bypass, clasificada por omisión de extensiones REST aplicadas) en la API REST de administración de Apache Kafka Connect. Esta falla ocurre específicamente cuando la propiedad admin.listeners se configura de manera explícita utilizando un puerto o listener separado del principal (listeners). Como resultado, el punto final de registros (logger endpoint) de administración acepta solicitudes de lectura y escritura sin autenticar, incluso si las extensiones de seguridad se encuentran activas en el oyente principal.

Vector de Ataque: remoto vía red; requiere que un atacante tenga acceso de red al puerto configurado en admin.listeners.

Impacto: confidencialidad e integridad moderadas/altas. Permite a un atacante no autenticado leer la lista completa de nombres y niveles de registro (loggers), exponiendo clases cargadas y extensiones de seguridad en uso, o modificar niveles de registro (incluyendo la propagación a nivel de clúster mediante scope=cluster), lo que puede suprimir registros o saturar el almacenamiento generando denegación de servicio (DoS) por consumo de recursos.

Parches y Actualizaciones: actualizar Apache Kafka / Kafka Connect a las versiones oficiales corregidas provistas por el proyecto (versión 4.0.0 o superior según corresponda).

Mitigaciones Temporales: eliminar la configuración explícita de admin.listeners o dejarla sin definir. Al no estar configurada por separado, los recursos administrativos comparten el oyente regular e heredan de forma segura todas sus extensiones de autenticación.

Buenas Prácticas: restringir estrictamente el acceso a los puertos de administración de Kafka Connect mediante reglas de firewall o políticas de red, permitiendo el tráfico únicamente desde consolas de gestión autorizadas.

https://nvd.nist.gov/vuln/detail/cve-2026-115644