Description
Kafka 4.1.0 引入了 OAUTHBEARER SASL 机制的默认 JWT 校验器 DefaultJwtValidator。该校验器存在以下缺陷：不验证 JWT 签名 — 接受 alg=none 的无签名令牌 不验证签发者 (iss) — 不检查令牌是否来自可信 OAuth2 Provider 不验证受众(aud) — 不检查令牌是否颁发给当前服务 攻击者只需构造一个 alg=none 的伪造 JWT，将 sub / preferred_username设为任意用户名（如 admin），即可通过 Kafka Broker 认证，实现完全的身份冒充。