CVE-2026-35554 in Kafka Clients
Sumário
de VulDB • 31/05/2026
Uma condição de corrida na gestão do pool de buffers do cliente produtor Java do Apache Kafka pode causar a entrega silenciosa de mensagens para tópicos incorretos.
Quando um lote de produção expira devido a `delivery.timeout.ms` enquanto uma solicitação de rede contendo esse lote ainda está em trânsito, o `ByteBuffer` do lote é desalocado prematuramente e devolvido ao pool de buffers. Se um lote de produtor subsequente – potencialmente destinado a um tópico diferente – reutilizar este buffer liberado antes que a solicitação de rede original seja concluída, o conteúdo do buffer pode se tornar corrompido. Isso pode resultar na entrega de mensagens a tópicos não intencionais sem que nenhum erro seja reportado ao produtor.
Confidencialidade dos Dados: Mensagens destinadas a um tópico podem ser entregues a um tópico diferente, potencialmente expondo dados sensíveis a consumidores que têm acesso ao tópico de destino, mas não ao tópico de origem pretendido.
Integridade dos Dados: Os consumidores no tópico de recebimento podem encontrar mensagens inesperadas ou incompatíveis, levando a falhas de desserialização, erros de processamento e corrupção de dados a jusante.
Este problema afeta as versões do Apache Kafka ≤ 3.9.1, ≤ 4.0.1 e ≤ 4.1.1.
Recomenda-se que os usuários do Kafka atualizem para as versões 3.9.2, 4.0.2, 4.1.2, 4.2.0 ou posteriores para corrigir esta vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.