Плагин kafka-sink-azure-kusto Kafka Connect является официальной поглоткой Microsoft для Azure Data Explorer (Kusto). До 5.2.3, kafka-sink-…

Плагин kafka-sink-azure-kusto Kafka Connect является официальной поглоткой Microsoft для Azure Data Explorer (Kusto). До 5.2.3, kafka-sink-azure-kusto не дезинфицировал управляемые пользователем значения внутри конфигурации kusto.tables.topics.mapping. Полевые поля db, таблицы, отображения и формата каждой картографической записи были интерполированы непосредственно в команды управления KQL управления/запроса через String.formatted(...) (например, FETCH_TABLE_COMMAND.formatted(table) → "<table> | count", FETCH_TABLE_MAPPING_COMMAND.formatted(table, формат, отображение) → Актер, способный влиять на конфигурацию разъема (например, кто-то с разрешениями на отправку или редактирование конфигураций разъема Kafka Connect), может встраивать метахарактеры KQL (;;, |, ') для выполнения произвольных команд управления в контексте основного принципа службы соединителя, что позволяет перечислять/измерять схему, отображение от принятия или изменять политику потоковой передачи / удержания. Это фальсификация уязвимости. Эксплуатация требует привилегированного доступа к конфигурации соединителя; взаимодействие конечного пользователя или полезной нагрузки записи Kafka не задействованы. Эта уязвимость зафиксирована в пункте 5.2.3.