CVE-2026-96740: утечка токена ServiceAccount в StreamsHub Console для Apache Kafka
В StreamsHub Console для Apache Kafka обнаружена уязвимость среднего уровня опасности (CVSS 6.5), позволяющая автору Console custom resource выкрасть токен ServiceAccount через неотфильтрованные свойства Kafka-клиента. Проблема затрагивает Red Hat StreamsHub Console и продукты Red Hat Streams for Apache Kafka версий 2 и 3. Злоумышленник может перенаправить токен на подконтрольный брокер.
Подробности
Проблема затрагивает Red Hat StreamsHub Console for Apache Kafka, а также Red Hat Streams for Apache Kafka 2 и Red Hat Streams for Apache Kafka 3. По данным описания CVE, пользовательские свойства Kafka-клиента, поступающие из Console custom resource (CR), копируются в конфигурацию AdminClient сервиса console-api без фильтрации ключей, чувствительных с точки зрения безопасности. Это означает, что автор Console CR может задать параметры config.providers и bootstrap.servers так, чтобы перенаправить токен ServiceAccount сервиса console-api на подконтрольный атакующему брокер. Иными словами, отсутствие проверки опасных ключей конфигурации позволяет провести эксфильтрацию служебного токена ServiceAccount. Уязвимость требует наличия прав на создание или изменение Console CR, что ограничивает круг потенциальных атакующих, но при этом значительно повышает риск в средах с несколькими тенантами, где доступ к CR есть у разных пользователей или команд. Полученный токен ServiceAccount может быть использован для дальнейшего доступа к ресурсам кластера в пределах прав сервисной учётной записи console-api. Оценка CVSS 6.5 (MEDIUM) отражает необходимость наличия определённых привилегий и сетевого доступа, но также и серьёзность последствий — компрометацию учётных данных сервиса.Что делать
Основная рекомендация — обновить затронутые продукты до версий, в которых устранена уязвимость. Следует проверить наличие исправлений у поставщика (Red Hat) для StreamsHub Console for Apache Kafka и Streams for Apache Kafka 2 и 3 и применить их в приоритетном порядке. Если обновление невозможно незамедлительно, стоит рассмотреть временные меры: — ограничить круг лиц и сервисных учётных записей, имеющих права на создание и изменение Console custom resource; — проверить существующие Console CR на предмет подозрительных значений config.providers и bootstrap.servers, указывающих на неизвестные или внешние брокеры; — усилить мониторинг обращений console-api к внешним брокерам и отслеживать аномальную сетевую активность; — по возможности ограничить сетевой доступ console-api только доверенными брокерами Kafka; — рассмотреть ротацию токенов ServiceAccount, используемых console-api, если есть подозрения на компрометацию. Также рекомендуется ограничить права сервисной учётной записи console-api до минимально необходимых, чтобы снизить потенциальный ущерб при эксфильтрации токена.Итог
CVE-2026-96740 — уязвимость среднего уровня, связанная с отсутствием фильтрации чувствительных ключей Kafka-клиента в StreamsHub Console for Apache Kafka. Она позволяет автору Console CR выкрасть токен ServiceAccount сервиса console-api через параметры config.providers и bootstrap.servers. Ключевые меры защиты — своевременное обновление, ограничение прав на Console CR и мониторинг сетевой активности console-api.Источник: CVE Project (cvelistV5)