Sicherheitspatches für Kafka-Versionen, deren Lebenszyklus abgelaufen ist, in Produktions-Datenpipelines

ELS für Apache Kafka stellt Sicherheitspatches und ausgewählte Fehlerbehebungen für Kafka-Versionen bereit, die vom Apache-Kafka-Projekt nicht mehr gepflegt werden. Die gepatchten Kafka-Artefakte werden über ein TuxCare-Maven-Repository bereitgestellt, sodass Anwendungen, die auf diesen Versionen basieren, weiterhin Sicherheitsupdates erhalten können.

Apache Kafka 2.8.2, 3.2.2, 3.2.3 und 3.7.1. Diese Builds decken auch Spring-Anwendungen für Apache Kafka ab, die den Client indirekt einbinden. Andere Versionen können mit dem Vertriebsteam von TuxCare besprochen werden.

Nicht lange. Die Kafka-Community pflegt in der Regel nur die neuesten Versionen, sodass für eine Version bereits ein oder zwei Jahre nach ihrer Veröffentlichung keine Fehlerbehebungen mehr bereitgestellt werden. Viele Unternehmen betreiben Kafka-Cluster und -Clients jedoch weitaus länger, wodurch bekannte Sicherheitslücken (CVEs) in der zentralen Dateninfrastruktur ungeschützt bleiben.

Ein bekanntes Beispiel ist CVE-2023-25194, bei dem eine speziell gestaltete SASL-JAAS-Konfiguration in Kafka Connect in den Versionen 2.3.0 bis 3.3.2 zu einer JNDI-basierten Remote-Code-Ausführung führen könnte. Da solche Schwachstellen in Infrastrukturen auftreten, die sensible Daten verarbeiten, lässt sich es bei einem Audit kaum rechtfertigen, sie unbehoben zu lassen.

Konfigurieren Sie Ihre TuxCare-Anmeldedaten in Maven oder Gradle, fügen Sie das TuxCare-Repository hinzu und ersetzen Sie die Versionen Ihrer Kafka-Abhängigkeiten durch die von TuxCare gepflegten Versionen, beispielsweise 3.2.3.tuxcare.1. Die Versionen der Artefakte können Sie nach der Anmeldung im Nexus von TuxCare einsehen, und Sie können das Repository über Ihr eigenes Artifactory oder Nexus als Proxy nutzen.

TuxCare strebt bei kritischen und hohen Schwachstellen eine Frist von 14 Tagen ab der öffentlichen Bekanntgabe an, bei mittleren Schwachstellen 60 Tage und bei geringen Schwachstellen 90 Tage. Die CycloneDX-VEX-Dokumente für Java-Pakete zeigen, welche CVEs die einzelnen gepatchten Builds beheben.

ELS für Apache Kafka wird als Maven-Artefakte zur Verwendung in Maven- oder Gradle-Builds bereitgestellt. Wenn Sie Unterstützung für eine Broker-Distribution oder ein bestimmtes Bereitstellungsmodell benötigen, klären Sie den Umfang bitte mit dem Vertriebsteam von TuxCare ab, bevor Sie sich darauf verlassen.