🇰🇷 한글 설명
kafka-sink-azure-kusto 5.2.3 이전 버전의 kusto.tables.topics.mapping 설정에서 사용자 입력값을 검증하지 않아, KQL 메타문자(;, |, ')를 통한 주입 공격으로 Azure Data Explorer에서 임의의 관리 명령어를 실행할 수 있습니다. Kafka Connect 설정 권한이 있는 공격자는 데이터베이스 스키마 조회/수정, 수집 매핑 변조, 보존 정책 변경 등을 수행할 수 있습니다.
💡 쉬운 설명
Azure로 데이터를 보내는 Kafka 도구에서 설정값이 제대로 검사되지 않아 데이터베이스 명령어를 조작할 수 있는 취약점입니다. 설정 관리 권한이 있는 사람이 악의적으로 데이터베이스를 조작할 수 있습니다.
🇺🇸 원문 (English)
kafka-sink-azure-kusto Kafka Connect plugin is the official Microsoft sink for Azure Data Explorer (Kusto). Prior to 5.2.3, kafka-sink-azure-kusto did not sanitize user-controlled values inside the kusto.tables.topics.mapping configuration. The db, table, mapping, and format fields of each mapping entry were interpolated directly into KQL management/query commands via String.formatted(...) (e.g., FETCH_TABLE_COMMAND.formatted(table) → "<table> | count", FETCH_TABLE_MAPPING_COMMAND.formatted(table, format, mapping) → ".show table <table> ingestion <format> mapping '<mapping>'"). An actor able to influence the connector configuration (for example, someone with permissions to submit or edit Kafka Connect connector configs) could embed KQL metacharacters (;, |, ') to execute arbitrary management commands in the context of the connector's service principal — enabling schema enumeration/modification, ingestion-mapping tampering, or changes to streaming/retention policies on the target Azure Data Explorer database. This is a tampering vulnerability. Exploitation requires privileged access to the connector configuration; no end-user interaction or Kafka record payload is involved. This vulnerability is fixed in 5.2.3.
📍 영향받는 시스템
kafka-sink-azure-kusto 5.2.2 이하 모든 버전
⚔️ 공격 벡터
Kafka Connect 커넥터 설정의 kusto.tables.topics.mapping 필드에 KQL 메타문자를 삽입하여 임의의 관리 명령어 실행
🛡️ 대응 방법
kafka-sink-azure-kusto를 5.2.3 이상으로 업데이트
🔧 검증 코드
5.2.2 이하 버전 번호가 출력되면 취약함. 5.2.3 이상이거나 출력값이 없으면 안전
find / -name "*kafka-sink-azure-kusto-*.jar" -type f 2>/dev/null | sed 's/.*kafka-sink-azure-kusto-//;s/\.jar.*//'