CVE-2026-111073

Nome do Software Vulnerável e Versões Afetadas Apache Kafka versões anteriores a 4.2.2 Apache Kafka versões anteriores a 4.3.1 Apache Kafka versões anteriores a 4.4.0

Description A API PushTelemetry no lado do broker valida apenas o tamanho compactado do payload de métricas do cliente em relação à variável telemetry.max.bytes antes da descompactação. A função ClientTelemetryUtils.decompress() então descompacta o payload sem limitar o tamanho da saída, permitindo que um payload pequeno e altamente compressível se expanda em centenas de megabytes de heap do broker. Um cliente autenticado pode explorar isso enviando solicitações que consomem memória heap excessiva, potencialmente levando a um OutOfMemoryError que pode degradar ou travar o broker e afetar a disponibilidade do cluster. Esta API está disponível para qualquer cliente autenticado e não é restringida por uma Lista de Controle de Acesso (ACL).

Recommendations Atualize para a versão 4.2.2. Atualize para a versão 4.3.1. Atualize para a versão 4.4.0. Como mitigação parcial, reduza o valor de telemetry.max.bytes para diminuir o tamanho descompactado no pior cenário.