Correctifs de sécurité pour les versions de Kafka en fin de vie dans les pipelines de données en production

ELS pour Apache Kafka fournit des correctifs de sécurité et certaines corrections de bogues pour les versions de Kafka que le projet Apache Kafka ne prend plus en charge. Les artefacts Kafka corrigés sont mis à disposition via un dépôt Maven de TuxCare, ce qui permet aux applications basées sur ces versions de continuer à bénéficier des correctifs de sécurité.

Apache Kafka 2.8.2, 3.2.2, 3.2.3 et 3.7.1. Ces versions couvrent également les applications Spring pour Apache Kafka qui utilisent indirectement le client. D'autres versions peuvent faire l'objet d'une discussion avec l'équipe commerciale de TuxCare.

Pas très longtemps. La communauté Kafka ne assure généralement la maintenance que des versions les plus récentes ; ainsi, une version peut cesser de bénéficier de correctifs dans l'année ou les deux ans suivant sa sortie. De nombreuses organisations exploitent des clusters et des clients Kafka bien plus longtemps que cela, ce qui laisse des vulnérabilités CVE connues non corrigées au sein de leur infrastructure de données principale.

Un exemple bien connu est celui de la vulnérabilité CVE-2023-25194, où une configuration SASL JAAS spécialement conçue dans Kafka Connect pouvait conduire à une exécution de code à distance via JNDI dans les versions 2.3.0 à 3.3.2. Ce type de vulnérabilité touche des infrastructures traitant des données sensibles ; il est donc difficile de justifier leur non-correction lors d'un audit.

Configurez vos identifiants TuxCare dans Maven ou Gradle, ajoutez le référentiel TuxCare, puis remplacez les versions de vos dépendances Kafka par celles gérées par TuxCare, telles que 3.2.3.tuxcare.1. Vous pouvez consulter les versions des artefacts dans le Nexus de TuxCare après vous être connecté, et vous pouvez utiliser votre propre Artifactory ou Nexus comme proxy pour ce référentiel.

TuxCare vise un délai de 14 jours à compter de la divulgation publique pour les vulnérabilités critiques et élevées, de 60 jours pour les vulnérabilités moyennes et de 90 jours pour les vulnérabilités faibles. Les documents CycloneDX VEX relatifs aux paquets Java indiquent quelles CVE chaque version corrigée résout.

ELS pour Apache Kafka est fourni sous forme d'artefacts Maven destinés à être utilisés dans des builds Maven ou Gradle. Si vous avez besoin d'une prise en charge pour une distribution de broker ou un modèle de déploiement spécifique, veuillez vérifier la portée de cette prise en charge auprès de l'équipe commerciale de TuxCare avant de vous y fier.