CVE-2026-111073 Apache Kafka PushTelemetry APIの脆弱性によるメモリ消費
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Apache KafkaのPushTelemetry APIに、認証済みクライアントが小さな圧縮ペイロードを送信して、ブローカーのヒープメモリを大量に消費する可能性のある脆弱性があります。圧縮解除時のサイズ制限が不十分で、大量のデータがヒープに展開され、OutOfMemoryErrorを引き起こす恐れがあります。これにより、ブローカーの停止やクラスタの可用性低下が発生する可能性があります。対策として、Apache Kafka 4.2.2、4.3.1、4.4.0へのアップグレードが推奨されています。現行バージョンでは、telemetry.max.bytesの設定値を下げて影響を抑える部分的な緩和策が可能ですが、完全な防止にはなりません。運用環境でKafkaを導入している場合は、影響範囲の確認とパッチ適用の検討が必要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質を問う。なぜ、小さなペイロードが大きな問題を引き起こすのか？それは、技術の限界か、設計の欠陥か？
ソクラテス、これは設計の限界かもしれませんね。例えば、telemetry.max.bytesは圧縮前のサイズを制限するだけで、解凍後のサイズは無制限です。だから、gzipでゼロを詰め尽くしたようなデータが、1MBの圧縮ペイロードで数百MBに膨らむんです。
なるほど。では、運用者はこれにどう対応すべきか？
まず、自分のKafkaバージョンを確認しましょう。CVE-2026-111073が影響を及ぼすのは、4.2.1や4.3.0など、パッチ前のバージョンです。公式サイトで確認し、アップグレードを検討すべきです。
しかし、パッチ適用が難しい場合もあるだろう。そのときの対策は？
telemetry.max.bytesを下げて、解凍後の最大サイズを制限する緩和策があります。ただし、完全な防衛にはなりません。だから、監視ログを確認し、異常なリクエストが来ていないかチェックする必要があります。
監視の重要性を強調するが、運用者はそれ以外に何を考慮すべきか？
変更管理ですね。パッチ適用や設定変更は、テスト環境でシミュレーションしてから本番に反映させましょう。また、ベンダーの公式情報で、この脆弱性が自分の環境にどう影響するかを確認してください。
ユーモアを交えて締めくくろう。この脆弱性を「圧縮されたゼロの悪魔」と呼ぶのは如何？
（笑）確かに。でも、ゼロの悪魔に負けるな。パッチを当て、設定をチェックし、監視を怠らずに。それこそが、運用者の使命です。
関連キーワード: apache