CVE-2026-105949 Evasión de autenticación en Cruise Control de Apache Kafka vía segmento de ruta adicional

Qué es CVE-2026-105949

Jetty ConstraintSecurityHandler registra restricciones sobre rutas exactas sin comodín general y sin setDenyUncoveredHttpMethods(true); el servlet enruta con Path.of(pathInfo).getFileName(), que descarta segmentos iniciales y barras finales. Peticiones como POST /kafkacruisecontrol/x/rebalance omiten la autenticación pero llegan a los endpoints de administración, dejando los 15 accesibles sin autenticación. En AMQ Streams, la NetworkPolicy del operador Strimzi limita el puerto 9090 de Cruise Control a pods del…

Productos y versiones afectadas

• Red Hat streams for Apache Kafka 2

  Versiones no especificadas.

• Red Hat streams for Apache Kafka 3

  Versiones no especificadas.

Qué hacer

1. Verificá si usás streams for Apache Kafka 2.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red adyacente

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Cruise Control's Jetty ConstraintSecurityHandler registers security constraints on exact path specs without a catch-all wildcard constraint and without calling setDenyUncoveredHttpMethods(true). The servlet routes requests using Path.of(pathInfo).getFileName(), which strips all leading segments and trailing slashes. Requests like POST /kafkacruisecontrol/x/rebalance bypass authentication entirely but still dispatch to admin endpoints. All 15 admin endpoints become reachable without authentication. In AMQ Streams, the Strimzi operator's NetworkPolicy restricts Cruise Control port 9090 to operator pods only, reducing effective severity to Important.

Referencias

• access.redhat.com/security/cve/CVE-2026-105949VDB-ENTRY · X_REFSOURCE_REDHAT
• bugzilla.redhat.com/show_bug.cgi?id=2510878ISSUE-TRACKING · X_REFSOURCE_REDHAT
• github.com/cruise-control-for-kafka/cruise-control/commit/0680880be8483e87a39832de807b68d…

Historial de la alerta

1. 20 OCT · 10:19VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.