PT-2026-48531
CVE-2026-10143
·
تاريخ النشر
2026-06-10
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات kafka-python الأقدم من 2.3.2
الوصف
توجد مشكلة رفض الخدمة في معالجة المصادقة عبر بروتوكول SCRAM. يمكن للوسيط الخبيث أو الوسيط الذي يعمل كـ«جهاز في الوسط» (man-in-the-middle) تجميد حلقة أحداث العميل عن طريق توفير عدد تكرارات كبير للغاية. في ملف
scram.py، تقوم الدالة ScramClient.process server first message() بتمرير عدد التكرارات لـ SCRAM الذي يتحكم فيه الوسيط مباشرةً إلى hashlib.pbkdf2 hmac() دون التحقق من صحتها. يؤدي ذلك إلى حظر عمليات الإرسال من قبل المنتجين، وعمليات الاستقصاء من قبل المستهلكين، وعمليات الإدارة، وعمليات إرسال نبضات الحياة، مما قد يؤدي إلى طرد مجموعات المستهلكين وفشل متكرر في إعادة الاتصال.التوصيات
قم بالتحديث إلى الإصدار 2.3.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾