בגרסאות Redpanda עד 26.2.2 ועד בכלל, ממשק הניהול של המערכת מאזין בפורט 9644 על כל כתובות הרשת ואינו דורש מהפונה להזדהות. מי שמגיע אל הפורט הזה נחשב מבחינת המערכת superuser, כלומר בעל ההרשאות הגבוהות ביותר. הציון שניתן לחולשה הוא 9.3 מתוך 10.

מה החולשה?

למערכת כזאת יש שני ערוצים שונים. באחד עוברות ההודעות עצמן, והשני הוא ממשק ניהול שדרכו מגדירים את האשכול: מי המשתמשים, איך מסודרים הנתונים, מה ההגדרות. הערוץ השני הוא זה שמדובר בו כאן.

שתי הגדרות ברירת מחדל נפגשות ויוצרות את הבעיה, וכל אחת מהן נראית סבירה לבדה.

הראשונה קובעת לאן ממשק הניהול מאזין, והערך הוא 0.0.0.0. המשמעות היא כל כתובת רשת שיש למכונה, ולכן כל מי שיש לו נתיב רשת אל השרת יכול לפתוח חיבור אל פורט 9644.

השנייה נקראת admin_api_require_auth, והיא מכריעה אם צריך פרטי אימות כדי להשתמש בממשק. ברירת המחדל שלה היא false. כשהיא כבויה, המערכת אינה דוחה בקשה שהגיעה בלי פרטי אימות, אלא מטפלת בה כאילו הגיעה ממשתמש superuser. לכשל מהסוג הזה, שבו פעולה רגישה פשוט אינה מבקשת אימות, קוראים CWE-306.

מה שאפשר לעשות מהצד השני אינו קריאת מידע בלבד. הרשומה מונה יצירה ומחיקה של חשבונות broker, שינוי הגדרות של האשכול, ופגיעה בשכפול ה-partition-ים, כלומר במנגנון שמוודא שעותק של הנתונים קיים ביותר ממקום אחד.

אין כאן באג בקוד. יש כאן שתי ברירות מחדל.

מי מושפע?

כל התקנה של Redpanda בגרסה 26.2.2 או נמוכה ממנה, שבה שתי ההגדרות האלה נשארו כפי שהגיעו. הרשומה ב-NVD אינה ממלאת טבלת גרסאות מסודרת, והטווח שהיא נוקבת בו הוא הניסוח הכללי, עד 26.2.2.

זה אינו רכיב שמשתמש קצה מתקין. מדובר בתשתית שצוותי פיתוח ו-DevOps מקימים כדי להעביר אירועים בין שירותים, ובישראל זה נוגע לחברות תוכנה, לחברות פינטק ולארגונים שבנו ארכיטקטורה שבה השירותים מדברים ביניהם דרך זרמי הודעות.

הפרט שקובע את רמת החשיפה אינו אם הפורט פתוח לאינטרנט אלא מי בפועל מסוגל להגיע אליו. אשכול שיושב ברשת פנימית משותפת חשוף לכל מי שנמצא על אותה רשת, ובכלל זה שירותים אחרים שרצים לידו ומכונות של אנשים אחרים בארגון.

האם מנוצלת בפועל?

נכון לעדכון האחרון של הרשומה אין דיווח פומבי על ניצול. החולשה אינה נמצאת בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שאליה נכנסות רק חולשות שהסוכנות מאשרת כי נעשה בהן שימוש בתקיפות אמיתיות.

כדאי לקרוא את זה כפי שנכתב. הרשומה פורסמה ב-28 באוגוסט 2026 ומפנה אל קובץ ההגדרות של הפרויקט, אל קובץ הקוד שמטפל באימות הבקשות ואל דיון פתוח במאגר. מי שרוצה לבדוק את ההתנהגות הזאת אינו צריך לבצע מחקר, רק לקרוא את מה שכבר פומבי.

מה עושים?

בדקו קודם באיזו גרסה אתם. אם המספר הוא 26.2.2 או נמוך ממנו, ההתקנה נמצאת בטווח שהרשומה מתארת.

הדליקו את admin_api_require_auth. זו ההגדרה שהופכת את ממשק הניהול מפתוח לכל פונה לממשק שדורש פרטי אימות, וברירת המחדל שלה כבויה. היא יושבת בקובץ ההגדרות redpanda.yaml, וקובץ ההגדרות לדוגמה של הפרויקט מראה איפה בדיוק.

הגבילו במקביל את הכתובת שאליה הממשק מאזין. במקום 0.0.0.0, שמשמעו כל כתובת של המכונה, קשרו אותו לכתובת פנימית שרק מי שאמור להגיע אליה מגיע, וחסמו את פורט 9644 ב-firewall מכל מקור שאינו תחנות הניהול שלכם.

שלוש הפעולות האלה אינן מחליפות זו את זו. הראשונה מחזירה את האימות, ושתי האחרות מצמצמות מי בכלל מסוגל לשאול.

ואם הפורט היה נגיש לאחרים, אל תסתפקו בסגירה. עברו על רשימת חשבונות ה-broker ועל הגדרות האשכול, וחפשו חשבון שנוסף או הגדרה שהשתנתה בלי שמישהו אצלכם יזם את זה.