Redpanda Connect'te CVSS 9.8 açık: streams modunda yönetim API'si kimlik doğrulamasız kod çalıştırmaya kapı açıyor
Redpanda Connect 4.39–4.110 sürümlerinde streams modunun yönetim HTTP API'si varsayılan olarak tüm arayüzlerde ve kimlik doğrulamasız açık. CVE-2026-123270 ile ağdan erişebilen biri sunucuda komut çalıştırabiliyor.
CVE-2026-123270
Kafka uyumlu veri akışları arasında mesaj taşıyan, eski adıyla Benthos olarak bilinen açık kaynak veri hattı aracı Redpanda Connect'te kritik bir açık duyuruldu. CVE-2026-123270 kimlik doğrulaması olmadan sunucuda kod çalıştırmaya izin veriyor. Kayıt 9 Kasım akşamı GitHub Security Advisories'e ve NVD'ye girdi; CVSS 3.1 puanı 9,8. Açık CISA KEV kataloğunda yok ve aktif istismar bildirimi yok. Ancak kayıtta kamuya açık exploit kodu da referans olarak yer alıyor, bu yüzden internete açık kurulumlar için süre kısa.
Kayda göre sorun streams modunda. Bu modda yönetim HTTP API'si 0.0.0.0:4195 üzerinde, yani tüm ağ arayüzlerinde dinliyor; kimlik doğrulaması varsayılan olarak kapalı ve stream oluşturma/değiştirme rotalarını koruyan bir kontrol yok. TCP 4195'e erişebilen biri, komut çalıştırabilen işlemciler içeren bir pipeline tanımı yükleyerek servisin hesabıyla sunucuda kod çalıştırabiliyor. Pipeline'lar veritabanı, Kafka ve bulut servislerine bağlantı bilgisi taşıdığı için etki tek sunucuyla sınırlı kalmayabilir: kimlik bilgisi hırsızlığı ve veri sızdırma kayıtta açıkça sayılıyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Redpanda Connect (streams modu) | 4.39 – 4.110 | 4.111 (yönetim API'si varsayılan olarak kapalı) |
Kayda göre 4.111 ve sonrası varsayılan ayarlarda etkilenmiyor. Ancak yönetim API'si --bind-http ile elle açılırsa aynı risk bu sürümlerde de sürüyor. Yani 4.111 bir yapılandırma düzeltmesi; kimlik doğrulaması eklenmiş değil.
Beni etkiliyor mu?
Redpanda Connect'in hangi sürümle ve streams modunda çalışıp çalışmadığını, 4195 portunun nerede dinlediğini kontrol edin. Kurulu sürümü paket yöneticinizden ya da imaj etiketinden doğrulayın. Aşağıdaki komutlar yalnızca okuma yapar:
systemctl status redpanda-connect
docker ps --format "{{.Image}} {{.Ports}}"Kubernetes'te çalıştırıyorsanız imaj etiketine ve servis tanımına bakın:
kubectl get pods -A -o jsonpath="{..image}" | tr ' ' '\n' | grep -i connect
kubectl get svc -A | grep 4195Süreç argümanlarında streams ya da --bind-http görüyorsanız ve 4195 yalnızca localhost'ta değilse, kurulumunuz risk altında kabul edilmeli.
Ne yapılmalı?
- Redpanda Connect'i 4.111 veya sonrasına yükseltin; change management sürecinizde bunu internete ya da geniş iç ağa açık kurulumlar için acil değişiklik olarak ele alın.
- Hemen yükseltemiyorsanız workaround olarak TCP 4195'i firewall ya da security group ile yalnızca yönetim makinelerine açın veya API'yi yalnızca localhost'ta dinleyecek şekilde yapılandırın. Yönetim API'si gerçekten gerekmiyorsa kapatın.
- 4.111 ve sonrasında
--bind-httpkullanıyorsanız API'yi bir reverse proxy arkasında kimlik doğrulamayla koruyun; bu sürümler de açık API ile risk taşıyor. - Açık kalmış kurulumlarda stream listesini ve servis loglarını inceleyin: tanımadığınız stream kimlikleri,
commandya dasubprocessişlemcisi içeren pipeline'lar, 4195'e beklenmeyen kaynaklardan gelen istekler şüphelidir. - Şüphe varsa pipeline'larda kullanılan Kafka, veritabanı ve bulut kimlik bilgilerini yenileyin ve servisin çalıştığı hesabın yetkilerini daraltın.
