CVE-2026-35554

Nome do Software Vulnerável e Versões Afetadas Apache Kafka versões anteriores a 3.9.2 Apache Kafka versões anteriores a 4.0.2 Apache Kafka versões anteriores a 4.1.2

Description Uma condição de corrida no gerenciamento do pool de buffers do cliente produtor Java pode fazer com que as mensagens sejam entregues silenciosamente em tópicos incorretos. Isso ocorre quando um lote de produção expira devido ao delivery.timeout.ms enquanto uma solicitação de rede contendo esse lote ainda está em trânsito, fazendo com que o ByteBuffer do lote seja desalocado prematuramente e retornado ao pool de buffers. Se um lote de produtor subsequente reutilizar esse buffer liberado antes que a solicitação original seja concluída, o conteúdo do buffer pode ser corrompido. Isso resulta em riscos de confidencialidade de dados, pois informações sensíveis podem ser expostas a consumidores não autorizados, e riscos de integridade de dados, pois os tópicos receptores podem encontrar mensagens incompatíveis, levando a falhas de desserialização e erros de processamento.

Recommendations Atualizar para a versão 3.9.2 ou posterior. Atualizar para a versão 4.0.2 ou posterior. Atualizar para a versão 4.1.2 ou posterior.