Wysoki Odebrany

CVE-2026-105937

opublikowano: 21.10.2026, 21:16

modyfikacja: 21.10.2026, 21:16

Ocena CVSS

8.7

Wysoki · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Tematy cienia Apache Pulsar (PIP-180) to tematy, które odczytują zapisane wiadomości tematu źródłowego z księgi zarządzanej tego tematu. Temat źródłowy jest wybierany poprzez ustawienie zarezerwowanej właściwości tematu PULSAR.SHADOW_SOURCE. Interfejs API REST administratora akceptuje tę właściwość podczas tworzenia tematu nie podzielonego na partycje lub podzielonego na partycje oraz podczas aktualizowania właściwości istniejącego tematu. Na tych ścieżkach broker autoryzuje obiekt wywołujący tylko w odniesieniu do tworzonego lub aktualizowanego tematu. Nie autoryzuje obiektu wywołującego względem tematu źródłowego wymienionego we właściwości. Istniejąca autoryzacja konfiguracji tematów w tle (zasady tematów SHADOW_TOPIC w temacie źródłowym) jest stosowana tylko do interfejsu API administratora tematów w tle po stronie źródłowej, a nie do tych ścieżek.

W rezultacie uwierzytelniony użytkownik, który może tworzyć tematy lub aktualizować właściwości tematów w jednej dzierżawie, może powiązać temat w tej dzierżawie z trwałym tematem w dowolnej innej dzierżawie. W przypadku domyślnego dostawcy autoryzacji te operacje wymagają roli administratora dzierżawy dla własnej dzierżawy użytkownika. Użytkownik nie potrzebuje żadnych uprawnień do tematu źródłowego, jego przestrzeni nazw ani dzierżawcy. W tej analizie wpływu założono, że Pulsar został skonfigurowany z domyślnym dostawcą autoryzacji. W przypadku niestandardowych dostawców autoryzacji wpływ może być inny.

Użytkownik może następnie korzystać z tematu cienia, używając tylko uprawnień do własnego tematu, i odbierać zachowane wiadomości, które zostały opublikowane w temacie źródłowym w drugiej dzierżawie. Ekspozycja jest ograniczona do wiadomości, które są nadal przechowywane i czytelne w księgach tematu źródłowego; wiadomości chronionych kompleksowym szyfrowaniem po stronie klienta nie można odszyfrować bez kluczy szyfrujących. Producent tematu cienia może również zarejestrować nową wersję schematu w schemacie tematu źródłowego, z zastrzeżeniem ustawień zgodności schematu; istniejące wersje schematu nie są zastępowane.

Ponadto księga zarządzana tematu cienia stosuje własne zasady przechowywania, przycinania, odciążania i usuwania do ksiąg tematu źródłowego. Może to trwale usunąć dane księgowe tematu źródłowego z BookKeepera i magazynu warstwowego, niezależnie od własnych subskrypcji i zasad przechowywania tematu źródłowego, w tym wiadomości, które nie zostały jeszcze potwierdzone. Usunięcie tematu cienia może również spowodować usunięcie ksiąg tematu źródłowego. Ta utrata danych może również mieć wpływ na tematy w tle, które zostały celowo skonfigurowane przez administratorów.

Ten problem dotyczy wersji Apache Pulsar od 3.0.0 przed 4.0.14 i od 4.1.0 przed 4.2.5. Wersje Apache Pulsar 2.x nie zawierają implementacji tematu cienia.

- Użytkownicy wersji 4.0.x powinni dokonać aktualizacji do co najmniej wersji 4.0.14.
- Użytkownicy wersji 4.1.xi 4.2.x powinni dokonać aktualizacji do co najmniej wersji 4.2.5.

Użytkownicy korzystający z wersji wcześniejszych niż wymienione powyżej powinni dokonać aktualizacji do wyżej wymienionych wersji z poprawkami lub do nowszych wersji.

Obecnie obsługiwane linie wydań Apache Pulsar to 4.0.x i 5.0.x. Harmonogram obsługiwanych wersji jest dostępny pod adresem https://pulsar.apache.org/contribute/release-policy/.

W poprawionych wersjach tematy cieni są domyślnie wyłączone i są kontrolowane przez nowe ustawienie konfiguracyjne brokera EnableShadowTopics (domyślnie false). Gdy jest wyłączona, broker odrzuca tworzenie tematów-cieni, ustawianie właściwości PULSAR.SHADOW_SOURCE oraz ładowanie lub replikowanie do istniejących tematów-cieni. Wdrożenia korzystające z tematów ukrytych muszą po aktualizacji mieć ustawioną opcję EnableShadowTopics=true w konfiguracji brokera wszystkich brokerów. w przeciwnym razie istniejące tematy cienia nie zostaną załadowane. Gdy tematy w tle są włączone, powiązanie tematu w tle z tematem źródłowym w innej dzierżawie wymaga roli administratora. Naprawione wersje zapobiegają również usuwaniu lub przycinaniu ksiąg przez temat-cień oraz przeładowywaniu danych tematu źródłowego.

Wersje, których dotyczy problem, nie zapewniają opcji konfiguracji umożliwiającej wyłączenie tematów ukrytych. Użytkownicy, którzy nie mogą natychmiast dokonać uaktualnienia, mogą zmniejszyć ryzyko, przyznając rolę administratora dzierżawy tylko zaufanym podmiotom zabezpieczeń.

Apache Pulsar shadow topics (PIP-180) are topics that read the stored messages of a source topic from that topic's managed ledger. The source topic is selected by setting the reserved topic property PULSAR.SHADOW_SOURCE. The admin REST API accepts this property when creating a non-partitioned or partitioned topic and when updating the properties of an existing topic. On these paths the broker authorizes the caller only against the topic being created or updated. It does not authorize the caller against the source topic named in the property. The existing authorization for shadow topic configuration (the SHADOW_TOPIC topic policy on the source topic) is applied only to the source-side shadow topics admin API, not to these paths.

As a result, an authenticated user who is allowed to create topics or update topic properties in one tenant can bind a topic in that tenant to a persistent topic in any other tenant. With the default authorization provider, these operations require the tenant admin role for the user's own tenant. The user does not need any permission on the source topic, its namespace or its tenant. This impact analysis assumes that Pulsar has been configured with the default authorization provider. For custom authorization providers, the impact could be different.

The user can then consume from the shadow topic, using only permissions on their own topic, and receive retained messages that were published to the source topic in the other tenant. Exposure is limited to messages that are still retained and readable in the source topic's ledgers; messages protected with client-side end-to-end encryption cannot be decrypted without the encryption keys. A producer on the shadow topic can also register a new schema version under the source topic's schema, subject to the schema compatibility settings; existing schema versions are not replaced.

In addition, the shadow topic's managed ledger applies its own retention, trimming, offloading and deletion to the source topic's ledgers. This can permanently delete the source topic's ledger data from BookKeeper and from tiered storage, regardless of the source topic's own subscriptions and retention policy, including messages that have not yet been acknowledged. Deleting the shadow topic can also delete the source topic's ledgers. This data loss can also affect shadow topics that were configured intentionally by administrators.

This issue affects Apache Pulsar versions from 3.0.0 before 4.0.14 and from 4.1.0 before 4.2.5. Apache Pulsar 2.x releases do not contain the shadow topic implementation.

- 4.0.x version users should upgrade to at least 4.0.14.
- 4.1.x and 4.2.x version users should upgrade to at least 4.2.5.

Users operating versions prior to those listed above should upgrade to the aforementioned patched versions or newer versions.

The currently supported Apache Pulsar release lines are 4.0.x and 5.0.x. The supported versions schedule is available at https://pulsar.apache.org/contribute/release-policy/.

In the fixed versions, shadow topics are disabled by default and are controlled by the new broker configuration setting enableShadowTopics (default false). While it is disabled, the broker rejects creating shadow topics, setting the PULSAR.SHADOW_SOURCE property, and loading or replicating to existing shadow topics. Deployments that use shadow topics must set enableShadowTopics=true in the broker configuration of all brokers after upgrading; otherwise existing shadow topics will not be loaded. When shadow topics are enabled, binding a shadow topic to a source topic in a different tenant requires the superuser role. The fixed versions also prevent a shadow topic from deleting or trimming the ledgers and offloaded data of its source topic.

Affected versions provide no configuration option to disable shadow topics. Users who cannot upgrade immediately can reduce exposure by granting the tenant admin role only to trusted principals.

>_ Słabości (CWE)

CWE-862

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve