Średni Odebrany

CVE-2026-105926

opublikowano: 21.10.2026, 20:17

modyfikacja: 21.10.2026, 20:17

Ocena CVSS

5.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Broker Pulsar udostępnia dwie komendy schematu w swoim protokole binarnym: GetSchema, która zwraca schemat zarejestrowany dla tematu, oraz GetOrCreateSchema, która rejestruje nową wersję schematu dla istniejącego tematu. Broker obsłużył obydwa polecenia po sprawdzeniu jedynie, czy połączenie klienta zostało uwierzytelnione. W przeciwieństwie do innych poleceń tematycznych brokera, takich jak te służące do tworzenia producentów i konsumentów lub do wyszukiwania tematów, te dwa polecenia nie sprawdzały, czy uwierzytelniony klient był autoryzowany do tematu docelowego. Nie miało to wpływu na punkty końcowe interfejsu API Pulsar REST dla schematów.

Uwierzytelniony klient bez uprawnień do docelowego tematu, przestrzeni nazw lub dzierżawy może użyć tych poleceń, aby:

- przeczytaj schemat zarejestrowany dla tematu w innej przestrzeni nazw lub dzierżawcy, ujawniając definicję schematu, taką jak nazwy i typy pól rekordów. Zawartość wiadomości nie jest ujawniana.
- zarejestruj nową wersję schematu dla istniejącego tematu w innej przestrzeni nazw lub dzierżawcy. Nadal obowiązują zasady dotyczące zgodności schematu i automatycznej aktualizacji schematu. Problem nie pozwala na odczytanie ani modyfikowanie danych wiadomości, ale zarejestrowana wersja schematu może spowodować, że legalni producenci i konsumenci tego tematu poniosą błędy związane z niezgodnością schematu, dopóki schemat nie zostanie poprawiony przez administratora.

Standardowy klient Pulsar przeprowadza autoryzowane wyszukiwanie tematów przed wysłaniem tych poleceń, więc brakujące sprawdzenie nie mogło zostać zaobserwowane podczas testowania ze standardowym klientem. Klient, który bezpośrednio implementuje protokół binarny, nie musi najpierw przeprowadzać tego wyszukiwania.

Ten problem dotyczy tylko wdrożeń, w których włączono uwierzytelnianie i autoryzację. Na polecenie GetSchema ma wpływ wersja Apache Pulsar 2.2.0, a polecenie GetOrCreateSchema wersja Apache Pulsar 2.5.0. Po naprawieniu broker wymaga uprawnień do wyszukiwania tematu dla GetSchema i uprawnień do tworzenia tematu dla GetOrCreateSchema. W tej analizie wpływu założono, że Pulsar został skonfigurowany z domyślnym dostawcą autoryzacji. W przypadku niestandardowych dostawców autoryzacji wpływ może być nieco inny.

Ten problem dotyczy wersji Apache Pulsar od 2.2.0 przed 4.0.14, od 4.1.0 do 4.1.3 i od 4.2.0 przed 4.2.5.

- Użytkownicy wersji 4.0.x powinni dokonać aktualizacji do co najmniej wersji 4.0.14.
- Użytkownicy wersji 4.1.xi 4.2.x powinni dokonać aktualizacji do co najmniej wersji 4.2.5.

Użytkownicy korzystający z wersji wcześniejszych niż wymienione powyżej powinni dokonać aktualizacji do wyżej wymienionych wersji z poprawkami lub do nowszych wersji.

Obecnie obsługiwane linie wydań Apache Pulsar to 4.0.x i 5.0.x. Harmonogram obsługiwanych wersji jest dostępny pod adresem https://pulsar.apache.org/contribute/release-policy/.

The Pulsar broker serves two schema commands on its binary protocol: GetSchema, which returns the schema registered for a topic, and GetOrCreateSchema, which registers a new schema version for an existing topic. The broker handled both commands after checking only that the client connection was authenticated. Unlike the broker's other topic commands, such as those for creating producers and consumers or for looking up topics, these two commands did not check whether the authenticated client was authorized for the target topic. The Pulsar REST API endpoints for schemas were not affected.

An authenticated client without any permission on the target topic, namespace or tenant could use these commands to:

- read the schema registered for a topic in another namespace or tenant, disclosing the schema definition such as record field names and types. Message payloads are not disclosed.
- register a new schema version on an existing topic in another namespace or tenant. The topic's schema compatibility and schema auto-update policies still apply. The issue does not allow message data to be read or modified, but a registered schema version can cause legitimate producers and consumers of that topic to fail with schema incompatibility errors until the schema is corrected by an administrator.

The standard Pulsar client performs an authorized topic lookup before it sends these commands, so the missing check could not be observed when testing with the standard client. A client that implements the binary protocol directly is not required to perform that lookup first.

This issue is relevant only to deployments that have authentication and authorization enabled. The GetSchema command is affected from Apache Pulsar 2.2.0, and the GetOrCreateSchema command from Apache Pulsar 2.5.0. After the fix, the broker requires the lookup permission on the topic for GetSchema and the produce permission on the topic for GetOrCreateSchema. This impact analysis assumes that Pulsar has been configured with the default authorization provider. For custom authorization providers, the impact could be slightly different.

This issue affects Apache Pulsar versions from 2.2.0 before 4.0.14, from 4.1.0 through 4.1.3, and from 4.2.0 before 4.2.5.

- 4.0.x version users should upgrade to at least 4.0.14.
- 4.1.x and 4.2.x version users should upgrade to at least 4.2.5.

Users operating versions prior to those listed above should upgrade to the aforementioned patched versions or newer versions.

The currently supported Apache Pulsar release lines are 4.0.x and 5.0.x. The supported versions schedule is available at https://pulsar.apache.org/contribute/release-policy/.

>_ Słabości (CWE)

CWE-862

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve