JVNDB-2026-005009

Linux FoundationのStrimziにおける複数の脆弱性

Strimziは、さまざまなデプロイメント構成でApache KafkaクラスタをKubernetesやOpenShift上で実行する方法を提供します。バージョン0.49.0から0.50.0において、複数のCAからなるマルチステージCAチェーンを用いたカスタムのクラスタまたはクライアントCAを使用する場合、Strimziは内部およびユーザーが構成したリスナーに対するmTLS認証のための信頼された証明書を誤って設定します。CAチェーン内のすべてのCAが信頼され、チェーン内のいずれかのCAで署名された証明書を持つユーザーは認証可能となります。この問題は、複数のCAで構成されるマルチステージCAチェーンのカスタムクラスタまたはクライアントCAを使用しているユーザーのみに影響し、Strimzi管理のクラスタおよびクライアントCAのユーザーや、単一CA（すなわち複数CAのCAチェーンでない）を用いたカスタムCAのユーザーには影響がありません。この問題はバージョン0.50.1で修正されました。この問題の回避策として、カスタムCAとして完全なCAチェーンを提供する代わりに、使用すべき単一のCAのみを提供する方法を推奨します。

Linux Foundation

• Strimzi 0.49.0 以上 0.50.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : All CAs from a custom CA chain consisting of multiple CAs are trusted for mTLS user authentication  Advisory  strimzi/strimzi-kafka-operator  GitHub

1. 不適切な認証(CWE-287) [その他]
2. 不正な証明書検証(CWE-295) [その他]
3. 証明書のトラストチェーンの不適切な追跡(CWE-296) [その他]

1. CVE-2026-27134

1. National Vulnerability Database (NVD) : CVE-2026-27134
2. 関連文書 : Release 0.50.1  strimzi/strimzi-kafka-operator  GitHub

• [2026年02月27日]
    掲載