Intel

CVE-2026-35554

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

highEPSS 0.4 %

Beschreibung

Ein Rennzustand in der Verwaltung des Pufferpools im Java-Produzentenclient von Apache Kafka kann dazu führen, dass Nachrichten stillschweigend an falsche Themen geliefert werden. Wenn eine Produktionsserie aufgrund von delivery.timeout.ms abläuft, während ein Netzwerkanfrage, die diese Serie enthält, noch in der Luft ist, wird das ByteBuffer der Serie vorzeitig freigegeben und dem Pufferpool zurückgegeben. Wenn eine nachfolgende Produktionsserie—potenziell für ein anderes Thema bestimmt—diesen freigegebenen Puffer wiederverwendet, bevor die ursprüngliche Netzwerkanfrage abgeschlossen ist, können sich die Inhalte des Puffers verfälschen. Dies kann dazu führen, dass Nachrichten an unbeabsichtigte Themen geliefert werden, ohne dass dem Produzenten ein Fehler gemeldet wird. Datenschutz: Nachrichten, die für ein Thema bestimmt sind, können an ein anderes Thema geliefert werden und dabei sensible Daten potenziell Konsumern offenlegen, die Zugang zum Zielthema haben, aber nicht zum beabsichtigten Quellthema. Datenintegrität: Konsumierende auf dem Empfangsthema können unerwartete oder inkompatible Nachrichten antreffen, was zu Deserialisierungsfehlern, Verarbeitungsfehlern und beschädigten nachgelagerten Daten führen kann. Dieses Problem betrifft Apache Kafka-Versionen ≤ 3.9.1, ≤ 4.0.1 und ≤ 4.1.1. Kafka-Nutzer werden geraten, auf Versionen 3.9.2, 4.0.2, 4.1.2, 4.2.0 oder später zu aktualisieren, um diese Schwachstelle zu beheben.

Quelle: BSI_CSAFBSIREDHAT_CSAFBSIBSI_CSAFNVDCVEORGCVELISTV5BSIBSI_CSAFOSV

Metriken

Severity
high
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
8.7
Quelle: cna-v3
CVSS v3
8.7
CVSS v4
—
EPSS-Perzentil
36.9 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.4 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-416, CWE-362

Weakness-Klassen (CWE)

  • CWE-416Variant

    Use After Free

    The product reuses or references memory after it has been freed. At some point afterward, the memory may be allocated again and saved in another pointer, while the original pointer references a location somewhere within the new allocation. Any operations using the original pointer are no longer valid because the memory "belongs" to the code that operates on the new pointer.

    cwe.mitre.org →

  • CWE-362Class

    Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')

    The product contains a concurrent code sequence that requires temporary, exclusive access to a shared resource, but a timing window exists in which the shared resource can be modified by another code sequence operating concurrently.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. Initial Analysis2026-08-17 18:05 UTC· nvd@nist.gov
    • CPE Configuration: OR *cpe:2.3:a:apache:kafka:*:*:*:*:*:*:*:* versions from (including) 4.1.0 up to (excluding) 4.1.2 *cpe:2.3:a:apache:kafka:*:*:*:*:*:*:*:* versions from (including) 2.8.0 up to (excluding) 3.9.2 *cpe:2.3:a:apache:kafka:*:*:*:*:*:*:*:* versions from (including) 4.0.0 up to (excluding) 4.0.2
    • Reference Type: Apache Software Foundation: https://issues.apache.org/jira/browse/KAFKA-19012 Types: Issue Tracking
    • Reference Type: Apache Software Foundation: https://lists.apache.org/thread/f07x7j8ovyqhjd1to25jsnqbm6wj01d6 Types: Vendor Advisory
    • Reference Type: CVE: http://www.openwall.com/lists/oss-security/2026/04/07/6 Types: Mailing List, Third Party Advisory

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-35554