Średni Odebrany

CVE-2026-105936

opublikowano: 21.10.2026, 21:16

modyfikacja: 21.10.2026, 21:16

Ocena CVSS

5.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Interfejs API REST procesu roboczego Pulsar Functions udostępnia dwa punkty końcowe, które zwracają katalog złączy Pulsar IO zainstalowanych na procesie roboczym funkcji: punkt końcowy łączników procesu roboczego (/admin/v2/worker/connectors) i punkt końcowy nieaktualnych łączników funkcji (/admin/v2/functions/connectors i /admin/v3/functions/connectors). Gdy autoryzacja jest włączona, punkt końcowy łączników procesów roboczych wymaga dostępu administratora. Punkt końcowy łączników funkcji, obsługiwany zarówno przez proces roboczy funkcji, jak i przez brokera uruchamiającego proces roboczy funkcji, zwraca ten sam katalog bez tej kontroli.

W rezultacie, gdy włączone jest uwierzytelnianie i autoryzacja, każdy uwierzytelniony klient może odczytać katalog łączników za pośrednictwem punktu końcowego łączników funkcji, niezależnie od uprawnień przyznanych jego roli i bez dostępu administratora. Nieuwierzytelnione żądania są odrzucane, chyba że dostęp anonimowy jest skonfigurowany z rolą użytkownika anonimowego.

Katalog zawiera definicje typów konektorów zainstalowane w katalogu konektorów procesu roboczego funkcji: nazwę konektora, jego opis oraz nazwy klas źródłowych, ujścia i konfiguracyjnych. Nie zawiera skonfigurowanych instancji źródłowych ani ujścia, ich wartości konfiguracyjnych ani poświadczeń, a zainstalowany typ łącznika nie wskazuje, że łącznik jest skonfigurowany lub uruchomiony. Wpływ ogranicza się do ujawnienia tych metadanych, które mogą obejmować nazwy i opisy niestandardowych złączy instalowanych przez operatora. Problem nie pozwala na modyfikowanie katalogu ani zarządzanie konektorami. Definicje łączników, które mają klasę źródłową lub ujście, są również zwracane przez wbudowane źródła i punkty końcowe ujścia do uwierzytelnionych klientów.

W wersjach ustalonych punkt końcowy łączników funkcji stosuje te same kontrole, co punkt końcowy łączników procesów roboczych, więc po włączeniu autoryzacji wymaga dostępu administratora. Klienci, którzy nie są superużytkownikami, mogą korzystać z wbudowanych punktów końcowych źródeł i ujścia, aby wyświetlić listę dostępnych typów złączy.

Ten problem dotyczy wersji Apache Pulsar od 2.4.1 przed 4.0.14 i od 4.1.0 przed 4.2.5.

- Użytkownicy wersji 4.0.x powinni dokonać aktualizacji do co najmniej wersji 4.0.14.
- Użytkownicy wersji 4.1.xi 4.2.x powinni dokonać aktualizacji do co najmniej wersji 4.2.5.

Użytkownicy korzystający z wersji wcześniejszych niż wymienione powyżej powinni dokonać aktualizacji do wyżej wymienionych wersji z poprawkami lub do nowszych wersji.

Obecnie obsługiwane linie wydań Apache Pulsar to 4.0.x i 5.0.x. Harmonogram obsługiwanych wersji jest dostępny pod adresem https://pulsar.apache.org/contribute/release-policy/.

The Pulsar Functions worker REST API provides two endpoints that return the catalog of Pulsar IO connectors installed on the functions worker: the worker connectors endpoint (/admin/v2/worker/connectors) and the deprecated functions connectors endpoint (/admin/v2/functions/connectors and /admin/v3/functions/connectors). When authorization is enabled, the worker connectors endpoint requires super-user access. The functions connectors endpoint, served both by the functions worker and by a broker running the functions worker, returns the same catalog without this check.

As a result, when authentication and authorization are enabled, any authenticated client can read the connector catalog through the functions connectors endpoint, regardless of the permissions granted to its role and without super-user access. Unauthenticated requests are rejected unless anonymous access is configured with an anonymous user role.

The catalog contains the connector type definitions installed in the functions worker's connectors directory: the connector name, its description, and the source, sink and configuration class names. It does not contain configured source or sink instances, their configuration values or credentials, and an installed connector type does not indicate that a connector is configured or running. The impact is limited to disclosure of this metadata, which can include the names and descriptions of custom connectors installed by the operator. The issue does not allow modifying the catalog or managing connectors. Connector definitions that have a source or sink class are also returned by the built-in sources and sinks endpoints to authenticated clients.

In fixed versions, the functions connectors endpoint applies the same checks as the worker connectors endpoint, so that it requires super-user access when authorization is enabled. Clients that are not super-users can use the built-in sources and sinks endpoints to list the available connector types.

This issue affects Apache Pulsar versions from 2.4.1 before 4.0.14 and from 4.1.0 before 4.2.5.

- 4.0.x version users should upgrade to at least 4.0.14.
- 4.1.x and 4.2.x version users should upgrade to at least 4.2.5.

Users operating versions prior to those listed above should upgrade to the aforementioned patched versions or newer versions.

The currently supported Apache Pulsar release lines are 4.0.x and 5.0.x. The supported versions schedule is available at https://pulsar.apache.org/contribute/release-policy/.

>_ Słabości (CWE)

CWE-862

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve