PT-2026-48531 · Pypi · Kafka-Python

Katriel Moses · Publicado 2026-06-10 · Atualizado 2026-06-12 · CVE-2026-10143

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas kafka-python versões anteriores a 2.3.2

Description Um problema de negação de serviço existe no processamento de autenticação SCRAM. Um broker malicioso ou um agente de machine-in-the-middle pode congelar o loop de eventos do cliente ao fornecer uma contagem de iterações excessivamente alta. No arquivo scram.py, a função ScramClient.process server first message() passa a contagem de iterações SCRAM controlada pelo broker diretamente para hashlib.pbkdf2 hmac() sem validação. Isso bloqueia envios do produtor, polls do consumidor, operações administrativas e heartbeats, podendo levar à expulsão do grupo de consumidores e falhas repetidas de reconexão.

Recommendations Atualize para a versão 2.3.2 ou posterior.

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2026-10143

Produtos afetados

Kafka-Python

Referências · 6

• https://github.com/dpkp/kafka-python/pull/3026 · Correção
• https://github.com/dpkp/kafka-python/pull/3019 · Correção
• https://github.com/dpkp/kafka-python/commit/6e4831444f972d169cdd11f5c8d50333cea3f19b · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-10143 · Nota de Segurança
• https://twitter.com/DFIR_Lab/status/2065252591869501470 · Publicação no Twitter
• https://vulncheck.com/advisories/kafka-python-prior-to-dos-via-scram-iteration-count-in-scram-py · Correção