Vulnerabilidad en karapace de Aiven-Open (CVE-2025-61673)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

03/10/2025

Última modificación:

08/10/2026

Descripción

Karapace es una implementación de código abierto de Kafka REST y Schema Registry. Las versiones 5.0.0 y 5.0.1 contienen una vulnerabilidad de omisión de autenticación cuando se configuran para usar autenticación de token de portador OAuth 2.0. Si se envía una solicitud sin un encabezado de autorización, la lógica de validación del token se omite por completo, permitiendo a un usuario no autenticado leer y escribir en los puntos finales de Schema Registry que de otro modo deberían estar protegidos. Esto efectivamente hace que el mecanismo de autenticación OAuth sea ineficaz. Este problema se corrige en la versión 5.0.2.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.60 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

8.60

Gravedad 3.x

ALTA

Vulnerabilidad en karapace de Aiven-Open (CVE-2025-61673)

Descripción

Impacto

Referencias a soluciones, herramientas e información