CVE-2026-111551

Nome do Software Vulnerável e Versões Afetadas Apache Kafka versões anteriores a 4.2.2 Apache Kafka versões anteriores a 4.3.2 Apache Kafka versões anteriores a 4.4.0

Description Vários caminhos de desserialização leem um campo de tamanho ou contagem dos dados de entrada e o utilizam diretamente para alocar um array, coleção ou buffer de bytes, sem verificar os bytes disponíveis. Uma entrada manipulada pequena pode declarar um tamanho excessivamente grande, forçando uma alocação de vários gigabytes. Isso pode causar um OutOfMemoryError, travando o consumidor afetado ou a thread do Kafka Streams, embora o broker e o cluster permaneçam inafetados. O problema persiste após reinicializações porque o registro manipulado permanece no tópico. O limite max.message.bytes é ineficaz, pois a alocação é baseada no campo de tamanho e não no comprimento real da entrada. Os caminhos afetados incluem ProcessorRecordContext (contagem de cabeçalhos), ChangedDeserializer (comprimento do valor varint), CombinedKeySchema (comprimento da chave estrangeira), ProcessorMetadata (comprimento da chave) e a decodificação de atribuição de grupo AssignmentInfo no Kafka Streams, bem como o ListDeserializer (usado pelo ListSerde) na biblioteca de clientes.

Recommendations Atualize para o Apache Kafka versão 4.2.2. Atualize para o Apache Kafka versão 4.3.2. Atualize para o Apache Kafka versão 4.4.0. Restrinja o acesso de gravação aos tópicos internos e ao grupo de consumidores de cada aplicação ao seu próprio principal, onde a autorização estiver habilitada. Restrinja quem pode produzir para tópicos consumidos com ListSerde.