CVE-2026-10143
Açıklama
2.3.2 sürümü öncesindeki kafka-python, SCRAM kimlik doğrulama yönetiminde, kötü niyetli veya aradaki adam (machine-in-the-middle) konumundaki bir broker'ın aşırı büyük bir yineleme sayısı sağlayarak istemci olay döngüsünü dondurmasına izin veren bir hizmet reddi (denial-of-service) zafiyeti içermektedir. scram.py dosyasında, ScramClient.process_server_first_message() fonksiyonu, broker tarafından kontrol edilen SCRAM yineleme sayısını herhangi bir doğrulama yapmadan doğrudan hashlib.pbkdf2_hmac() fonksiyonuna iletmekte; bu durum üretici gönderimlerini, tüketici sorgularını, yönetici işlemlerini ve kalp atışlarını engelleyerek tüketici grubundan çıkarılmaya ve tekrarlanan yeniden bağlanma hatalarına neden olabilmektedir.
Nasıl düzeltilir
- dpkp kafka-python2.3.2 ya da sonraki bir sürüm
- kafka-python2.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dpkp kafka-python | v < 2.3.2 | 2.3.2 |
| kafka-pythonPyPI | v < 2.3.2 | 2.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.