CVE-2026-111115

Czytniki generowane przez kod Apache Kafka dla elastycznych wersji protokołów odczytują liczbę otagowanych pól zadeklarowaną przez nadawcę i zachowują obiekt RawTaggedField dla każdego nieznanego pola. Liczba ta była ograniczona jedynie rozmiarem zewnętrznej ramki żądania (socket.request.max.bytes); nie został sprawdzony pod kątem pozostałych bajtów bufora ani nie został ograniczony. Ponieważ każdy wpis może być zakodowany w zaledwie dwóch bajtach (nieznany tag 0, rozmiar 0), skromne żądanie może zadeklarować dziesiątki milionów otagowanych pól i wymusić alokację jednego obiektu na zadeklarowane pole. Elastyczne nagłówki żądań (nagłówek w wersji 2, używany przez elastyczne interfejsy API, takie jak ApiVersions v3) są analizowane w ten sposób, więc wzmocnienie dotyczy samego nagłówka żądania.


Wpływ:
Elastyczny nagłówek żądania jest analizowany w wątku sieciowym przed autoryzacją, wysłaniem żądania i obliczeniem limitu czasu żądania. Klient może wysłać żądanie o wielkości kilkudziesięciu megabajtów, którego nagłówek deklaruje około 20 milionów oznaczonych pól, wymuszając mniej więcej tyle samo alokacji RawTaggedField i wyczerpując stos brokerów lub powodując przestoje GC w całym procesie, odmawiając usługi brokera. Ponieważ nagłówek jest analizowany pod kątem interfejsów API przed uwierzytelnieniem, takich jak ApiVersions (v3), alokacja może nastąpić przed uwierzytelnieniem; nie jest wymagana żadna lista ACL ani przydział zasobów Kafki.

Łagodzenie:
Uaktualnij do Apache Kafka 4.2.2, 4.3.2 lub 4.4.0. Do tego czasu zmniejszenie wartości Socket.request.max.bytes i ograniczenie dostępu do sieci dla słuchaczy brokerów zmniejsza ryzyko, ale go nie usuwa.

Rozdzielczość:
Od Apache Kafka 4.2.2, 4.3.2 i 4.4.0: wygenerowane granice czytników — sprawdź liczbę otagowanych pól pod kątem komunikatów w wersji elastycznej, odrzucając liczbę ujemną, liczbę przekraczającą pozostałe bajty bufora lub liczbę przekraczającą ustalone maksimum (10 000) przed jakąkolwiek alokacją na pole.