Niski Odebrany

CVE-2026-105931

opublikowano: 21.10.2026, 21:16

modyfikacja: 21.10.2026, 21:16

Ocena CVSS

2.3

Niski · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Broker Apache Pulsar udostępnia interfejs API REST do administrowania transakcjami w katalogu /admin/v3/transactions. Gdy włączone jest uwierzytelnianie i autoryzacja, większość punktów końcowych odczytu tego interfejsu API sprawdza jedynie, czy żądanie zostało uwierzytelnione i czy broker obsługuje żądany temat lub koordynatora transakcji. Nie sprawdzają, czy osoba wywołująca ma uprawnienia dostępu do dzierżawy, przestrzeni nazw lub tematu, którego dane są zwracane. Punkty końcowe modyfikujące stan, przerywające transakcję lub skalujące koordynatorów transakcji, poprawnie wymagają dostępu superużytkownika i nie mają na to wpływu.

Dzięki temu każdy uwierzytelniony użytkownik, także ten, któremu nie przyznano żadnych uprawnień, może czytać informacje o koordynatorze transakcji oraz informacje o transakcjach należące do innych dzierżawców. Obejmuje to listę koordynatorów transakcji wraz z adresami URL usług brokerskich, które je obsługują, statystyki koordynatorów transakcji i statystyki wewnętrzne, metadane transakcji obejmujące nazwy tematów i subskrypcji, których dotyczy transakcja oraz zleceniodawcę, który ją otworzył, listę długoterminowych transakcji u koordynatora transakcji, statystyki dotyczące bufora transakcji i oczekujących potwierdzeń oraz statystyki wewnętrzne dla dowolnego tematu i subskrypcji, a także to, czy dana pozycja wiadomości subskrypcji jest aktualnie przechowywana w oczekującym potwierdzeniu transakcji.

Ujawnienie metadanych i statystyk transakcji może nastąpić tylko wtedy, gdy w brokerze włączona jest obsługa transakcji (transactionCoordinatorEnabled, która domyślnie jest wyłączona). Gdy obsługa transakcji jest wyłączona, te punkty końcowe nie zwracają żadnych danych transakcji; Jedynym efektem resztkowym jest to, że odpowiedź na błąd jednego punktu końcowego może ujawnić, czy nazwany temat istnieje w innej dzierżawie.

Wpływ ogranicza się do ujawnienia metadanych i statystyk związanych z transakcjami poza granicami dzierżawców. Problem nie pozwala na odczytanie treści wiadomości, modyfikowanie lub przerywanie transakcji, a także zmianę jakiejkolwiek konfiguracji.

Ten problem dotyczy wersji Apache Pulsar od 2.8.0 przed 4.0.14 i od 4.1.0 przed 4.2.5.

- Użytkownicy wersji 4.0.x powinni dokonać aktualizacji do co najmniej wersji 4.0.14.
- Użytkownicy wersji 4.1.xi 4.2.x powinni dokonać aktualizacji do co najmniej wersji 4.2.5.

Użytkownicy korzystający z wersji wcześniejszych niż wymienione powyżej powinni dokonać aktualizacji do wyżej wymienionych wersji z poprawkami lub do nowszych wersji.

Obecnie obsługiwane linie wydań Apache Pulsar to 4.0.x i 5.0.x. Harmonogram obsługiwanych wersji jest dostępny pod adresem https://pulsar.apache.org/contribute/release-policy/.

Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji i nie korzystają z transakcji Pulsar, powinni wyłączyć obsługę transakcji. Tam, gdzie wymagane są transakcje, ograniczenie dostępu sieciowego do punktów końcowych HTTP administratora brokera do zaufanych klientów administracyjnych zmniejsza ryzyko.

The Apache Pulsar broker exposes a transaction administration REST API under /admin/v3/transactions. When authentication and authorization are enabled, most of the read endpoints of this API verify only that the request is authenticated and that the broker serves the requested topic or transaction coordinator. They do not check whether the caller is permitted to access the tenant, namespace or topic whose data is returned. The endpoints that modify state, which abort a transaction or scale the transaction coordinators, correctly require super-user access and are not affected.

As a result, any authenticated user, including one that has been granted no permissions, can read transaction coordinator and transaction information belonging to other tenants. This includes the list of transaction coordinators with the broker service URLs that serve them, transaction coordinator statistics and internal statistics, transaction metadata including the names of the topics and subscriptions a transaction involves and the principal that opened it, the list of long-running transactions on a transaction coordinator, transaction buffer and pending acknowledgement statistics and internal statistics for any topic and subscription, and whether a given message position of a subscription is currently held in a pending transactional acknowledgement.

The disclosure of transaction metadata and statistics can only occur when transaction support is enabled in the broker (transactionCoordinatorEnabled, which is disabled by default). When transaction support is disabled, these endpoints return no transaction data; the only residual effect is that one endpoint's error response can reveal whether a named topic exists in another tenant.

The impact is limited to disclosure of transaction-related metadata and statistics across tenant boundaries. The issue does not allow reading message contents, modifying or aborting transactions, or changing any configuration.

This issue affects Apache Pulsar versions from 2.8.0 before 4.0.14 and from 4.1.0 before 4.2.5.

- 4.0.x version users should upgrade to at least 4.0.14.
- 4.1.x and 4.2.x version users should upgrade to at least 4.2.5.

Users operating versions prior to those listed above should upgrade to the aforementioned patched versions or newer versions.

The currently supported Apache Pulsar release lines are 4.0.x and 5.0.x. The supported versions schedule is available at https://pulsar.apache.org/contribute/release-policy/.

Users who cannot upgrade immediately and do not use Pulsar transactions should keep transaction support disabled. Where transactions are required, restricting network access to the broker's admin HTTP endpoints to trusted administrative clients reduces the exposure.

>_ Słabości (CWE)

CWE-862

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve