CVE-2026-10142
Açıklama
2.3.2 sürümü öncesindeki kafka-python, protokol ayrıştırıcısında, kötü niyetli bir broker veya ortadaki adam (machine-in-the-middle) saldırganının sınır doğrulaması yapılmamış şekilde hazırlanmış 4 baytlık bir çerçeve uzunluğu değeri göndererek belleği tüketmesine veya bağlantıları askıya almasına olanak tanıyan bir hizmet reddi zafiyeti içermektedir. Saldırganlar, ya çok gigabaytlık bir bellek tahsisini ya da bağlantıyı bozuk durumda bırakan ve yeniden başlatılana kadar isteklerin askıda kalmasına ve tüketicilerin heartbeat göndermeyi durdurmasına neden olan yakalanmamış bir ValueError'ı tetiklemek için receive_bytes() fonksiyonu üzerinden özel olarak hazırlanmış bir çerçeve uzunluğu gönderebilirler.
Nasıl düzeltilir
- dpkp kafka-python2.3.2 ya da sonraki bir sürüm
- kafka-python2.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dpkp kafka-python | v < 2.3.2 | 2.3.2 |
| kafka-pythonPyPI | v < 2.3.2 | 2.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.