近日，监测到Kafka官方修复多个安全漏洞：Apache Kafka客户端任意文件读取漏洞(CVE-2025-27817)；Apache Kafka远程代码执行漏洞(CVE-2025-27818、CVE-2025-27819)。

一、漏洞描述

Apache Kafka是一款开源的分布式事件流平台，广泛用于高性能数据管道、流式分析和数据集成，目前其存在多项高危漏洞风险，请广大师生提高警示。

（一）Apache Kafka客户端任意文件读取漏洞(CVE-2025-27817)

攻击者可以利用该漏洞读取服务器上的任意文件内容，并将其返回到错误日志中，或者向非预期的地址发送请求。

（二）Apache Kafka远程代码执行漏洞(CVE-2025-27818)

攻击者可以通过Kafka Connect的RESTAPI或其他配置方式，将Kafka客户端指向攻击者控制的LDAP服务器，利用Java反序列化漏洞链执行任意代码。

（三）Apache Kafka远程代码执行漏洞(CVE-2025-27819)

攻击者可以通过连接到Kafka集群并利用Alter Configs权限，配置恶意的JndiLoginModule，从而触发Java反序列化漏洞链，导致远程代码执行或拒绝服务攻击。

二、影响版本

3.1.0<=Apache Kafka<=3.9.0

2.3.0<=Apache Kafka<=3.9.0

2.0.0<=Apache Kafka<=3.3.2

三、修复建议

建议用户尽快升级到以下或更高的安全版本：

Apache Kafka3.9.1

Apache Kafka4.0.0

补丁链接：https://kafka.apache.org/downloads