🇰🇷 한글 설명
Apache Kafka의 NetworkClient 컴포넌트에서 DEBUG 로그 레벨 활성화 시 특정 API 요청 및 응답 전체 내용이 로그에 출력되는 정보 노출 취약점입니다. 이 취약점은 v3.9.1 및 v4.0.0 이하 버전에 영향을 미치며, 기본 로그 레벨은 INFO이므로 DEBUG가 활성화된 경우에만 발생합니다.
💡 쉬운 설명
Kafka의 디버그 로그를 켜면 인증 관련 등 민감한 정보가 로그 파일에 그대로 기록될 수 있습니다. 기본 설정(INFO)에서는 이 문제가 발생하지 않습니다.
🇺🇸 원문 (English)
Information exposure vulnerability has been identified in Apache Kafka.
The NetworkClient component will output entire requests and responses information in the DEBUG log level in the logs. By default, the log level is set to INFO level. If the DEBUG level is enabled, the sensitive information will be exposed via the requests and responses output log. The entire lists of impacted requests and responses are:
* AlterConfigsRequest
* AlterUserScramCredentialsRequest
* ExpireDelegationTokenRequest
* IncrementalAlterConfigsRequest
* RenewDelegationTokenRequest
* SaslAuthenticateRequest
* createDelegationTokenResponse
* describeDelegationTokenResponse
* SaslAuthenticateResponse
This issue affects Apache Kafka: from any version supported the listed API above through v3.9.1, v4.0.0. We advise the Kafka users to upgrade to v3.9.2, v4.0.1, or later to avoid this vulnerability.
📍 영향받는 시스템
Apache Kafka 3.9.1 이하 및 4.0.0 (DEBUG 로그 레벨 사용 시)
⚔️ 공격 벡터
로그 파일에 접근 권한을 가진 공격자가 DEBUG 로그에서 인증 정보 및 위임 토큰 등 민감 데이터를 열람
🛡️ 대응 방법
Apache Kafka 3.9.2, 4.0.1 이상으로 업그레이드하고 운영 환경에서 DEBUG 로그 레벨 사용을 피하기
🔧 검증 코드
결과가 출력되면 NetworkClient 관련 로거가 DEBUG로 설정된 것이므로 로그 레벨을 INFO로 낮추고, 결과가 없으면 해당 설정은 없는 상태입니다.
grep -rE 'log4j.logger.org.apache.kafka.common.network.*DEBUG|log4j.rootLogger.*DEBUG' $KAFKA_HOME/config/ 2>/dev/null