CVE-2026-111496

Nome do Software Vulnerável e Versões Afetadas Kafka Streams versões anteriores a 4.2.2 Kafka Streams versões anteriores a 4.3.2 Kafka Streams versões anteriores a 4.4.0

Description O Kafka Streams deriva seu relógio de tempo de fluxo a partir de timestamps de registros. A função PunctuationSchedule.next() calcula o próximo tempo de pontuação sem uma verificação de overflow. Se um registro contiver um timestamp próximo a Long.MAX VALUE, o tempo de fluxo avança para esse valor, fazendo com que a próxima pontuação de tempo de fluxo transborde para um tempo negativo. Consequentemente, o PunctuationQueue reenfileira esse tempo e entra em loop indefinidamente enquanto mantém um bloqueio, travando o StreamThread. Um único registro é suficiente para fazer com que o StreamThread afetado pare de processar; como o registro permanece no tópico, o travamento retorna após a reinicialização. Se todas as partições forem afetadas, a aplicação torna-se irresponsiva. Este problema afeta apenas a aplicação Streams, não os brokers ou o cluster. A exploração requer acesso de gravação a um tópico de origem que utilize pontuação de tempo de fluxo e um broker que aceite o timestamp.

Recommendations Atualize o Kafka Streams para a versão 4.2.2. Atualize o Kafka Streams para a versão 4.3.2. Atualize o Kafka Streams para a versão 4.4.0. Mantenha o log.message.timestamp.after.max.ms limitado nos tópicos de origem. Restrinja o acesso de gravação aos tópicos de origem.