CVE-2026-83525
Publiée le 2026-10-28 · Dernière modification le 2026-10-29
Les versions 2.8.0 à 4.2.1 et 4.3.0 à 4.3.1 d'Apache Kafka sont concernées. Kafka est une plateforme de streaming d'événements distribuée utilisée pour gérer des flux de données à haut volume. Une erreur de logique dans le gestionnaire RPC FetchSnapshot ne traite pas correctement les requêtes contenant un tableau de thèmes (topics) vide ou un thème sans partitions.
Un attaquant peut provoquer le plantage du processus contrôleur, entraînant un déni de service pour le cluster. Cette exploitation nécessite un accès réseau ainsi qu'un compte authentifié disposant des privilèges CLUSTER_ACTION. Il ne s'agit pas d'une attaque distante non authentifiée, car l'utilisateur doit déjà posséder des permissions administratives significatives pour envoyer la requête falsifiée.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Incorrect operator (CWE-480) in the FetchSnapshot RPC handler in Apache Kafka from 2.8.0 before 4.2.2, and from 4.3.0 before 4.3.2 on all platforms allows an authenticated attacker with CLUSTER_ACTION privilege to cause a denial of service (controller process termination) via a crafted FetchSnapshotRequest with an empty topics array or a topic with no partitions. Users are recommended to upgrade to version 4.2.2, 4.3.2, or 4.4.0, which fix this issue. Users on unsupported branches (4.1.x and earlier) should upgrade to 4.2.2 or later.