CVE-2022-34917

Se ha identificado una vulnerabilidad de seguridad en Apache Kafka. Afecta a todas las versiones desde la 2.8.0. La vulnerabilidad permite a clientes maliciosos no autenticados asignar grandes cantidades de memoria en los brokers. Esto puede conllevar a que los brokers sufran una OutOfMemoryException y causar una denegación de servicio. Ejemplos de escenarios: - Cluster Kafka sin autenticación: Cualquier cliente capaz de establecer una conexión de red con un broker puede desencadenar el problema. - Clúster Kafka con autenticación SASL: Cualquier cliente capaz de establecer una conexión de red con un broker, sin necesidad de credenciales SASL válidas, puede desencadenar el problema. - Clúster Kafka con autenticación TLS: Sólo los clientes capaces de autenticarse con éxito por medio de TLS pueden desencadenar el problema. REcomendamos a usuarios actualizar las instalaciones de Kafka a una de las versiones 3.2.3, 3.1.2, 3.0.2, 2.8.2

A flaw was found in Apache Kafka that allows malicious unauthenticated clients to allocate large amounts of memory on brokers, which could lead to an Out Of Memory Exception, causing a denial of service. Various authentication methods were affected in different degrees. In Kafka clusters without authentication, any client able to connect to a broker could trigger the issue. In Kafka clusters with SASL authentication, any client able to connect to a broker without the need for valid SASL credentials could trigger the issue. Lastly, in Kafka clusters with TLS authentication, only clients able to successfully authenticate via TLS could trigger the issue.