Niski Odebrany

CVE-2026-105927

opublikowano: 21.10.2026, 20:17

modyfikacja: 21.10.2026, 20:17

Ocena CVSS

2.3

Niski · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Usługa Apache Pulsar WebSocket umożliwia konsumentowi protokołu WebSocket skonfigurowanie zasad niedostarczonych wiadomości poprzez parametry zapytania punktu końcowego konsumenta, w tym parametr deadLetterTopic określający temat, do którego zapisywane są wiadomości po przekroczeniu maksymalnej liczby ponownych dostaw. Gdy autoryzacja jest włączona, usługa WebSocket sprawdza tylko, czy łączący się użytkownik posiada uprawnienie CONSUME w subskrybowanym temacie. Nie sprawdza, czy użytkownik posiada uprawnienie PRODUCE w temacie wymienionym w deadLetterTopic. Wiadomości niedostarczone są następnie zapisywane przez usługę WebSocket przy użyciu własnej tożsamości klienta brokera, a nie tożsamości łączącego się użytkownika.

W rezultacie uwierzytelniony użytkownik posiadający uprawnienie CONSUME do co najmniej jednego tematu może spowodować zapisanie wiadomości w wybranym przez niego temacie w dowolnej istniejącej przestrzeni nazw, w tym w przestrzeniach nazw należących do innych dzierżawców, pod warunkiem, że rola używana przez usługę WebSocket do łączenia się z brokerami jest upoważniona do tworzenia tego tematu, a temat akceptuje producenta, który nie rejestruje żadnego schematu. Producent niedostarczonych wiadomości utworzony przez usługę WebSocket nie rejestruje żadnego schematu, dlatego jest odrzucany, jeśli temat docelowy ma schemat i dla tego tematu lub jego przestrzeni nazw jest wymuszana walidacja schematu; to ustawienie nie jest domyślnie włączone. Ten sam użytkownik jest odrzucany przy próbie bezpośredniego napisania artykułu na ten temat. Jeśli włączone jest automatyczne tworzenie tematów (co jest ustawieniem domyślnym), utworzony zostanie nazwany temat, jeśli jeszcze nie istnieje. Problem może wystąpić tylko wtedy, gdy usługa WebSocket jest włączona albo w brokerze (webSocketServiceEnabled, który jest domyślnie wyłączony), albo jako samodzielny serwer proxy WebSocket.

Skutkiem jest nieupoważnione umieszczanie wiadomości w tematach, w których użytkownik nie ma prawa tworzyć. Użytkownik może określić treść wstrzykiwanych wiadomości, kontrolując jednocześnie wiadomości w subskrybowanym temacie. Problem nie pozwala na czytanie, modyfikowanie lub usuwanie istniejących wiadomości w temacie docelowym. Wstrzyknięte wiadomości zawierają właściwości wiadomości niedostarczonych i nazwę producenta niedostarczonej wiadomości, dzięki czemu można je odróżnić od wiadomości generowanych normalnie; jednakże wartości tych właściwości nie są uwierzytelniane i nie należy na nich polegać w celu ustalenia pochodzenia wiadomości. To, czy wstrzyknięta wiadomość będzie miała dalsze konsekwencje, zależy od tego, jak aplikacje korzystające z tematu docelowego ją przetwarzają. Powtarzane wstrzykiwanie zużywa również pamięć i pojemność zaległości w docelowej przestrzeni nazw.

Ten problem dotyczy wersji Apache Pulsar od 2.3.0 przed 4.0.14 i od 4.1.0 przed 4.2.5.

- Użytkownicy wersji 4.0.x powinni dokonać aktualizacji do co najmniej wersji 4.0.14.
- Użytkownicy wersji 4.1.xi 4.2.x powinni dokonać aktualizacji do co najmniej wersji 4.2.5.

Użytkownicy korzystający z wersji wcześniejszych niż wymienione powyżej powinni dokonać aktualizacji do wyżej wymienionych wersji z poprawkami lub do nowszych wersji.

Obecnie obsługiwane linie wydań Apache Pulsar to 4.0.x i 5.0.x. Harmonogram obsługiwanych wersji jest dostępny pod adresem https://pulsar.apache.org/contribute/release-policy/.

Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji i nie potrzebują usługi WebSocket, powinni ją wyłączyć. Jeśli wymagana jest usługa WebSocket, ograniczenie dostępu sieciowego do niej i uprawnień przyznanych roli używanej przez usługę WebSocket do łączenia się z brokerami z przestrzeniami nazw, do których mają mieć dostęp klienci WebSocket, zmniejsza ryzyko.

The Apache Pulsar WebSocket service allows a WebSocket consumer to configure a dead letter policy through query parameters of the consumer endpoint, including the deadLetterTopic parameter that names the topic to which messages are written after the maximum number of redeliveries is exceeded. When authorization is enabled, the WebSocket service checks only that the connecting user holds the CONSUME permission on the subscribed topic. It does not check whether the user holds the PRODUCE permission on the topic named in deadLetterTopic. The dead letter messages are then written by the WebSocket service using its own broker client identity rather than the identity of the connecting user.

As a result, an authenticated user who holds the CONSUME permission on at least one topic can cause messages to be written to a topic of their choosing in any existing namespace, including namespaces belonging to other tenants, provided the role used by the WebSocket service to connect to the brokers is authorized to produce to that topic and the topic accepts a producer that registers no schema. The dead letter producer created by the WebSocket service registers no schema, so it is rejected when the target topic has a schema and schema validation is enforced for that topic or its namespace; this setting is not enabled by default. The same user is refused when attempting to produce to that topic directly. Where automatic topic creation is enabled, which is the default, the named topic is created if it does not already exist. The issue can only be triggered when the WebSocket service is enabled, either in the broker (webSocketServiceEnabled, which is disabled by default) or as a standalone WebSocket proxy.

The impact is unauthorized injection of messages into topics the user is not permitted to produce to. The user can determine the content of the injected messages when they also control the messages on the subscribed topic. The issue does not allow reading, modifying or deleting existing messages in the target topic. Injected messages carry the dead letter message properties and a dead letter producer name, so they can be distinguished from messages produced normally; however, the values of these properties are not authenticated and should not be relied upon to establish the origin of a message. Whether an injected message has further consequences depends on how the applications consuming the target topic process it. Repeated injection also consumes storage and backlog capacity in the target namespace.

This issue affects Apache Pulsar versions from 2.3.0 before 4.0.14 and from 4.1.0 before 4.2.5.

- 4.0.x version users should upgrade to at least 4.0.14.
- 4.1.x and 4.2.x version users should upgrade to at least 4.2.5.

Users operating versions prior to those listed above should upgrade to the aforementioned patched versions or newer versions.

The currently supported Apache Pulsar release lines are 4.0.x and 5.0.x. The supported versions schedule is available at https://pulsar.apache.org/contribute/release-policy/.

Users who cannot upgrade immediately and do not require the WebSocket service should disable it. Where the WebSocket service is required, restricting network access to it and limiting the permissions granted to the role the WebSocket service uses to connect to the brokers to the namespaces WebSocket clients are intended to access reduces the exposure.

>_ Słabości (CWE)

CWE-863

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve