CVE-2026-114349

Nome do Software Vulnerável e Versões Afetadas Apache Kafka versões anteriores a 4.2.2 Apache Kafka versões anteriores a 4.3.2 Apache Kafka versões anteriores a 4.4.0

Description Ao decodificar um lote de registros compactados, o broker lê um tamanho de corpo declarado do fluxo descompactado e aloca um buffer desse tamanho antes de validá-lo em relação aos bytes disponíveis ou limites configurados. Como esse tamanho é controlado pelo invasor e não é restringido pelo CRC do lote, uma solicitação de produção compactada pequena e válida pode declarar um tamanho de corpo de até 2 GiB, forçando uma alocação que dispara um OutOfMemoryError. Isso pode levar a uma negação de serviço ao travar as threads de processamento de solicitações do broker, consumidores que buscam o registro ou a JVM do broker se iniciada com -XX:+ExitOnOutOfMemoryError. Além disso, um registro manipulado gravado no disco pode encerrar a thread log-cleaner durante a compactação em um tópico compactado, interrompendo a compactação de logs para todo o broker, incluindo tópicos internos como consumer offsets e transaction state, persistindo após reinicializações.

Recommendations Atualize para o Apache Kafka 4.2.2, 4.3.2 ou 4.4.0 e defina max.decompressed.message.bytes no nível do broker ou do tópico para um valor limitado apropriado para a carga de trabalho. Restrinja o acesso de Gravação (Write) a produtores confiáveis como medida temporária até que a atualização e a configuração sejam concluídas.