Apache Kafka : des correctifs contre les fuites de secrets et les dénis de service
Le CERT-FR a publié le 29 octobre 2026 un avis regroupant plusieurs vulnérabilités d’Apache Kafka annoncées la veille. Deux défauts illustrent les risques pour les infrastructures qui transportent les événements et données des applications.
CVE-2026-112375 permet à un utilisateur authentifié, même sans autorisation de modification, de lire certains fichiers ou variables d’environnement accessibles au processus du courtier. Des secrets peuvent ainsi être exposés. Les versions affectées vont de 3.2.0 à 4.1.2, ainsi que 4.2.0–4.2.1 et 4.3.0–4.3.1. Les correctifs sont intégrés à 4.2.2, 4.3.2 et 4.4.0.
CVE-2026-114349 concerne une allocation mémoire excessive pendant le décodage de messages compressés. Un producteur authentifié disposant du droit d’écriture peut interrompre des traitements ; un message enregistré peut entretenir la panne. Les mêmes versions corrigées s’appliquent, mais la mise à jour seule ne suffit pas : Apache demande de borner le paramètre max.decompressed.message.bytes selon les besoins réels.
Restreindre les droits d’écriture et les permissions système des courtiers réduit l’exposition, sans remplacer les correctifs. Les autres CVE du bulletin ont leurs propres conditions et versions : ne pas généraliser ces seuils. Aucun score CVSS ni exploitation active n’est établi ici pour ces deux défauts par les pages consultées.
Mots-clés suggérés : Kafka, Apache, secrets, correctifs, disponibilité.
Sources :
Apache Kafka, avis officiels et mesures correctives, annonces du 28 octobre 2026
