CVE-2026-92778: обход feature gate в CMAK через HTML-формы

В открытом инструменте управления Apache Kafka — CMAK (Cluster Manager for Apache Kafka) от Yahoo — выявлена уязвимость, связанная с обходом механизма feature gate. Проблема затрагивает конфигурации, в которых функция плановых выборов лидера (scheduled leader election) должна быть отключена администратором.

Подробности

Уязвимость получила идентификатор CVE-2026-92778 и оценку CVSS 5.3 (MEDIUM). Затрагиваются версии CMAK вплоть до 3.0.0.6 включительно.

Суть проблемы в том, что механизм переключателя функции (feature toggle) для планировщика периодических выборов лидера применяется не ко всем маршрутам приложения. В частности, HTML-формы, отвечающие за управление планировщиком, не проверяют состояние соответствующего feature gate. Как следствие, даже если администратор отключил функцию, эндпоинты формы остаются доступными.

Злоумышленник, получивший доступ к этим маршрутам, может запускать или останавливать recurring election scheduler. Это позволяет вмешиваться в процессы выборов лидера в управляемых кластерах Kafka, что потенциально ведёт к нарушению стабильности кластеров, неожиданной смене лидеров и сопутствующим сбоям в работе распределённых систем. Уязвимость не требует привилегий высокого уровня, однако её эксплуатация зависит от наличия доступа к веб-интерфейсу CMAK.

Что делать

На момент публикации записи CVE сведения об официальном патче отсутствуют. Рекомендуется принять следующие меры:

• Ограничить сетевой доступ к веб-интерфейсу CMAK: не выставлять его в публичные сети, использовать VPN, сегментацию и списки разрешённых адресов;
• Проверить и ужесточить аутентификацию и авторизацию пользователей CMAK, ограничив круг лиц, имеющих доступ к административным формам;
• Отслеживать выход обновлений CMAK у поставщика и установить исправленную версию сразу после её публикации;
• Вести мониторинг обращений к эндпоинтам форм управления планировщиком выборов, чтобы своевременно выявлять подозрительную активность.

Уязвимость относится к классу среднего риска, но её последствия для стабильности Kafka-кластеров могут быть ощутимыми. Основная защита на текущий момент — минимизация поверхности атаки и контроль доступа к интерфейсу CMAK до выхода официального исправления.

Источник: CVE Project (cvelistV5)