JVNDB-2026-012352

Apache Software FoundationのApache Kafkaにおけるサーバログファイルからの情報漏えいに関する脆弱性

Apache Kafka に情報漏洩の脆弱性が確認されました。NetworkClient コンポーネントは、DEBUG ログレベルで要求および応答の全情報をログに出力します。デフォルトではログレベルは INFO に設定されていますが、DEBUG レベルが有効になると、要求および応答の出力ログを通じて機微な情報が漏洩する可能性があります。影響を受ける要求および応答は、AlterConfigsRequest、AlterUserScramCredentialsRequest、ExpireDelegationTokenRequest、IncrementalAlterConfigsRequest、RenewDelegationTokenRequest、SaslAuthenticateRequest、createDelegationTokenResponse、describeDelegationTokenResponse、SaslAuthenticateResponse です。この問題は、リストされた API を含むサポート対象バージョンの Apache Kafka すべて（v3.9.1、v4.0.0）に影響します。Kafka ユーザーは、この脆弱性を回避するために v3.9.2、v4.0.1 以降へアップグレードすることを推奨します。

Apache Software Foundation

• Apache Kafka 0.11.0.0 以上 3.9.2 未満
• Apache Kafka 4.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Kafka : CVE List | Apache Kafka
• Pony Mail : CVE-2026-33558: Apache Kafka, Apache Kafka Clients: Information Exposure Through Network Client Log Output-Apache Mail Archives

1. サーバログファイルからの情報漏えい(CWE-533) [その他]

1. CVE-2026-33558

1. National Vulnerability Database (NVD) : CVE-2026-33558
2. 関連文書 : oss-security - CVE-2026-33558: Apache Kafka, Apache Kafka Clients: Information Exposure Through Network Client Log Output

• [2026年04月24日]
    掲載