CVSS 9.0 以上
CVE-2026-111108
要約
Apache Kafkaのコード生成されたプロトコルリーダーは、送信者が宣言した要素数に基づいて配列のコレクションを事前に確保します。この要素数はリクエストバッファの残りバイト数に対してしか検査されないため、バッファに収まる量を大きく超える要素数を宣言しても検査を通過し、キー付き配列では容量 (2 * count + 1) のImplicitLinkedHashCollectionが確保されます。Apache Kafka 4.2.2、4.3.2、4.4.0では、事前確保の上限を1000とし、宣言された配列長が1,000,000を超えるリクエストを拒否します。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Apache Kafka
このタグの新着を RSS で受け取る: Apache Kafka(使い方)
判定の理由
- CVSS 9.0 以上