一、 漏洞 CVE-2026-23529 基础信息
漏洞信息
# Google BigQuery Sink 连接器任意文件读取漏洞
## 概述
Kafka Connect BigQuery Connector 是一个将 Apache Kafka 数据导入 Google BigQuery 的 Sink 连接器。在版本 2.11.0 之前，该连接器存在任意文件读取漏洞。
## 影响版本
2.11.0 之前的版本
## 细节
Aiven 的 Google BigQuery Kafka Connect Sink 连接器需通过 Google Cloud 凭据配置进行身份验证。用户在配置连接器时可提供凭据 JSON 文件，这些文件由 Google 认证库处理。该服务在将外部来源的凭据配置传递给认证库前未进行有效验证。
攻击者可通过构造恶意凭据配置，利用 `credential_source.file` 路径或 `credential_source.url` 端点，触发任意文件读取或 SSRF 攻击。
## 影响
攻击者可读取运行连接器的系统上的任意文件，或发起 SSRF 攻击，可能导致敏感信息泄露或进一步的内部网络渗透。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Arbitrary File Read in Google BigQuery Sink connector
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Kafka Connect BigQuery Connector is an implementation of a sink connector from Apache Kafka to Google BigQuery. Prior to 2.11.0, there is an arbitrary file read in Google BigQuery Sink connector. Aiven's Google BigQuery Kafka Connect Sink connector requires Google Cloud credential configurations for authentication to BigQuery services. During connector configuration, users can supply credential JSON files that are processed by Google authentication libraries. The service fails to validate externally-sourced credential configurations before passing them to the authentication libraries. An attacker can exploit this by providing a malicious credential configuration containing crafted credential_source.file paths or credential_source.url endpoints, resulting in arbitrary file reads or SSRF attacks.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
文件名或路径的外部可控制
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-23529 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-23529 的情报信息
- https://docs.cloud.google.com/support/bulletins#gcp-2025-005x_refsource_MISC
标题： Release v2.11.0 · Aiven-Open/bigquery-connector-for-apache-kafka · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：### 关键信息 - **漏洞修复**: - 修复了 CVE-2026-23529 漏洞。 - **版本更新**: - Java: 从版本 8 升级到 17。 - Confluent: 从版本 7.6.0 升级到 7.9.5。 - Jackson: 从版本 2.14.2 升级到 2.20.1。 - Kafka: 从版本 3.6.1 升级到 3.8.1。 - **新增内容**: - 引入 `aiven-commons:system:1.0.0`。 - 引入 `aiven-commons:google-utils:1.0.0`。 - 更新了 README 文件。 - **发布人**: - 此版本由 Aindriú Lavelle、Audrey Budryte 和 Claude Warren 共同发布。 - **其他**: - 提供了多个版本的下载资产，包括可执行文件和源代码压缩包。 - 最新发布日期为三天前。
标题： Arbitrary File Read in Google BigQuery Sink connector · Advisory · Aiven-Open/bigquery-connector-for-apache-kafka · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：## 关键漏洞信息 ### 漏洞描述 - **漏洞名称**: Arbitrary File Read in Google BigQuery Sink connector - **CVE ID**: CVE-2026-23529 - **GHSA ID**: GHSA-3mg8-2g53-5gj4 - **发布时间**: 4天前 - **病情**: 漏洞严重性为高（CVSS v3 基本分数为 7.7/10） - **漏洞影响版本**: < 2.11.0 - **修复版本**: 2.11.0 ### 漏洞详情 - **包名**: com.wepay.kafka.connect.bigquery - **问题描述**: Aiven的Google BigQuery Kafka Connect Sink连接器在连接BigQuery服务时需要Google Cloud凭证配置。用户可以提供包含凭证的JSON文件，如果服务没有对这些凭证配置进行验证就传递给认证库，攻击者可以通过提供包含恶意凭证配置的文件路径或URL来利用此漏洞，导致任意文件读取或SSRF攻击。 ### 漏洞影响 - **可能后果**: - 服务密钥可能被用来冒充Kafka broker； - 如果使用独立的Kafka Connect实例，可能导致对文件系统的未授权访问。 ### 修复措施 - **建议升级**: 用户应升级到2.11.0版本。 - **变通方法**: 无。 ### 参考资料 - [GCP-2025-005](链接) - [使用外部来源的凭证配置时的安全性需求](链接) ### CVSSv3 基本指标 - **攻击向量**: Network - **攻击复杂度**: Low - **所需权限**: Low - **用户交互**: None - **作用范围**: Changed - **机密性影响**: High - **完整性影响**: None - **可用性影响**: None
标题： Merge commit from fork · Aiven-Open/bigquery-connector-for-apache-kafka@20ea392 · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：从截图中，我们可以提取到以下关于漏洞的关键信息： - **漏洞类型**: 任意文件读取（Arbitrary File Read）。 - **漏洞位置**: 在 `BigQuerySinkConnector` 的代码中。 - **修复描述**: 该提交描述指出，修复了 `BigQuerySink` 连接器中的任意文件读取漏洞。说明之前的代码允许攻击者通过某种方式读取任意文件内容。 - **提交信息与作者**: 该修复由 `AudreyBudryte2` 提交，提交日期为4天前，该提交被标记为 `verified`。 - **影响的文件以及代码变化**: 修改了 `pom.xml` 以及多个 Java 文件，包括 `BigQuerySinkConnector.java`、`GcpClientBuilder.java`、`BigQuerySinkTask.java` 等等，总共修改了 14 个文件，添加了 115 行代码，删除了 185 行代码。 - **具体修复代码变动**: 从截图中可以看到，修复主要涉及对文件读取逻辑的修改，尤其是对可能的任意文件路径进行了安全检查和限制，防止攻击者利用该漏洞读取任意文件。例如，增加了文件路径的校验逻辑，确保只读取预期路径的文件。 这些信息提示我们，原来存在一个任意文件读取的安全漏洞，攻击者可能利用漏洞读取服务器上的任意文件内容，然而这个漏洞已被修复，开发者通过更新文件读取逻辑以防止该漏洞被利用。
- https://nvd.nist.gov/vuln/detail/CVE-2026-23529
四、漏洞 CVE-2026-23529 的评论
暂无评论