PT-2026-128291
CVE-2026-111073
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Kafka الإصدارات السابقة لـ 4.2.2
Apache Kafka الإصدارات السابقة لـ 4.3.1
Apache Kafka الإصدارات السابقة لـ 4.4.0
Description
تقوم واجهة برمجة تطبيقات PushTelemetry في جانب الوسيط (broker) بالتحقق فقط من الحجم المضغوط لحمولة مقاييس العميل مقابل المتغير
telemetry.max.bytes قبل فك الضغط. بعد ذلك، تقوم الدالة ClientTelemetryUtils.decompress() بفك ضغط الحمولة دون وضع حد لحجم المخرجات، مما يسمح لحمولة صغيرة وقابلة للضغط بدرجة كبيرة أن تتوسع إلى مئات الميجابايت من ذاكرة الـ heap الخاصة بالوسيط. يمكن لعميل مصرح له استغلال ذلك عن طريق إرسال طلبات تستهلك ذاكرة heap مفرطة، مما قد يؤدي إلى حدوث OutOfMemoryError يتسبب في تدهور أداء الوسيط أو تعطلة والتأثير على توفر العنقود (cluster). واجهة برمجة التطبيقات هذه متاحة لأي عميل مصرح له وغير مقيدة بقائمة التحكم في الوصول (ACL).Recommendations
التحديث إلى الإصدار 4.2.2.
التحديث إلى الإصدار 4.3.1.
التحديث إلى الإصدار 4.4.0.
كإجراء تخفيف جزئي، قم بخفض قيمة
telemetry.max.bytes لتقليل الحجم الذي يتم فك ضغطه في أسوأ الحالات. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾