Niski Odebrany

CVE-2026-105938

opublikowano: 21.10.2026, 21:16

modyfikacja: 21.10.2026, 21:16

Ocena CVSS

2.3

Niski · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Przestrzenie nazw Apache Pulsar mogą ograniczać role, które mogą korzystać z subskrypcji, albo za pomocą trybu uwierzytelniania subskrypcji z prefiksem, który wymaga, aby nazwa subskrypcji zaczynała się od nazwy roli, albo poprzez przyznanie uprawnień do subskrypcji określonym rolom. Operacje subskrypcji na poziomie tematu, takie jak korzystanie, pomijanie wiadomości, resetowanie kursora lub usuwanie subskrypcji, stosują te zasady subskrypcji. Kilka operacji administracyjnych REST API, które działają na subskrypcjach, ich nie zastosowało:

- operacje usuwania zaległości na poziomie przestrzeni nazw i pakietu, zarówno dla nazwanej subskrypcji, jak i dla wszystkich subskrypcji;
- operacje anulowania subskrypcji na poziomie przestrzeni nazw i na poziomie pakietu;
- operacja na poziomie tematu, która wygasa wiadomości dla wszystkich subskrypcji tematu.

W przypadku domyślnego dostawcy autoryzacji operacje na poziomie przestrzeni nazw wymagają jedynie wykorzystania uprawnień przyznanych w przestrzeni nazw, a operacja wygaśnięcia wszystkiego wymaga jedynie wykorzystania uprawnień w temacie. W rezultacie, gdy włączone jest uwierzytelnianie i autoryzacja, a przestrzeń nazw korzysta z trybu uwierzytelniania subskrypcji prefiksu lub uprawnień do subskrypcji, uwierzytelniony użytkownik z takim uprawnieniem korzystania może wyczyścić zaległości, wygasnąć wiadomości lub usunąć subskrypcję, której zasady odmówiłyby temu użytkownikowi. Dostęp administratora dzierżawy lub administratora nie jest wymagany. Operacje czyszczenia zaległości można również zastosować do kursorów używanych do replikacji geograficznej, dzięki czemu wiadomości, które nie zostały jeszcze zreplikowane do zdalnego klastra, zostaną pominięte. To obejście nie ma wpływu na wdrożenia, w których nie skonfigurowano trybu uwierzytelniania subskrypcji prefiksu ani uprawnień subskrypcji (ustawień domyślnych), ponieważ uprawnienia zużywające w przestrzeni nazw lub temacie już zezwalają na te operacje. W tej analizie wpływu założono, że Pulsar został skonfigurowany z domyślnym dostawcą autoryzacji. W przypadku niestandardowych dostawców autoryzacji wpływ może być inny.

Wpływ ma to na integralność stanu subskrypcji. Wyczyszczenie lub wygaśnięcie zaległości przesuwa kursor subskrypcji do przodu, więc niepotwierdzone wiadomości nie są już dostarczane do klientów subskrypcji. Operacja anulowania subskrypcji usuwa subskrypcję, która nie ma podłączonych konsumentów. Pominięte wiadomości można trwale usunąć, jeśli żadna inna subskrypcja lub zasady przechowywania przestrzeni nazw ich nie zachowają. Problem nie pozwala na odczytanie treści wiadomości, zmianę uprawnień lub zasad lub uzyskanie dostępu do innych przestrzeni nazw i nie wpływa na dostępność brokera.

W wersjach stałych operacje na poziomie przestrzeni nazw i pakietu dla nazwanej subskrypcji stosują zasady subskrypcji do tej subskrypcji, a operacje na wszystkich subskrypcjach, na żądanie użytkownika, który nie jest administratorem dzierżawy ani superużytkownikiem, działają tylko na subskrypcjach, do których użytkownik może uzyskać dostęp. Usuwanie zaległości kursorów replikacji geograficznej wymaga dostępu administratora dzierżawy lub administratora. Operacje subskrypcji na poziomie tematu stosują zasady subskrypcji dla wszystkich typów danych uwierzytelniających, łącznie z rolą użytkownika anonimowego.

Ten problem dotyczy wersji Apache Pulsar od 2.8.0 przed 4.0.14 i od 4.1.0 przed 4.2.5.

- Użytkownicy wersji 4.0.x powinni dokonać aktualizacji do co najmniej wersji 4.0.14.
- Użytkownicy wersji 4.1.xi 4.2.x powinni dokonać aktualizacji do co najmniej wersji 4.2.5.

Zanim będzie można skorzystać z ograniczeń na poziomie przestrzeni nazw, należy zaktualizować wszystkich brokerów w klastrze, ponieważ brokerzy, którzy nie zostali zaktualizowani, nie stosują ich, gdy otrzymują wewnętrzne żądania dotyczące poszczególnych pakietów.

Użytkownicy korzystający z wersji wcześniejszych niż wymienione powyżej powinni dokonać aktualizacji do wyżej wymienionych wersji z poprawkami lub do nowszych wersji.

Obecnie obsługiwane linie wydań Apache Pulsar to 4.0.x i 5.0.x. Harmonogram obsługiwanych wersji jest dostępny pod adresem https://pulsar.apache.org/contribute/release-policy/.

Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, mogą zmniejszyć ryzyko, ograniczając dostęp sieciowy do interfejsu API REST administratora brokera do zaufanych klientów administracyjnych.

Apache Pulsar namespaces can restrict which roles may use a subscription, either with the Prefix subscription authentication mode, which requires a subscription name to start with the role name, or by granting permission on a subscription to specific roles. Topic-level subscription operations, such as consuming, skipping messages, resetting a cursor or deleting a subscription, apply these subscription policies. Several admin REST API operations that act on subscriptions did not apply them:

- the namespace-level and bundle-level clear backlog operations, both for a named subscription and for all subscriptions;
- the namespace-level and bundle-level unsubscribe operations;
- the topic-level operation that expires messages for all subscriptions of a topic.

With the default authorization provider, the namespace-level operations require only consume permission granted on the namespace, and the expire-all operation requires only consume permission on the topic. As a result, when authentication and authorization are enabled and a namespace uses the Prefix subscription authentication mode or subscription permissions, an authenticated user with such consume permission can clear the backlog of, expire messages of, or delete a subscription that the policies would deny to that user. Tenant admin or superuser access is not required. The clear backlog operations can also be applied to the cursors used for geo-replication, so that messages not yet replicated to a remote cluster are skipped. Deployments that do not configure the Prefix subscription authentication mode or subscription permissions (the defaults) are not affected by this bypass, because consume permission on the namespace or topic already allows these operations there. This impact analysis assumes that Pulsar has been configured with the default authorization provider. For custom authorization providers, the impact could be different.

The impact is on the integrity of subscription state. Clearing or expiring the backlog moves the subscription's cursor forward, so unacknowledged messages are no longer delivered to the subscription's consumers. The unsubscribe operation deletes a subscription that has no connected consumers. Skipped messages can be permanently deleted once no other subscription or the namespace's retention policy keeps them. The issue does not allow reading message contents, changing permissions or policies, or accessing other namespaces, and it does not affect the availability of the broker.

In fixed versions, the namespace-level and bundle-level operations for a named subscription apply the subscription policies to that subscription, and the operations for all subscriptions, when requested by a user who is not a tenant admin or superuser, only act on the subscriptions that the user may access. Clearing the backlog of geo-replication cursors requires tenant admin or superuser access. Topic-level subscription operations apply the subscription policies for all types of authentication data, including that of the anonymous user role.

This issue affects Apache Pulsar versions from 2.8.0 before 4.0.14 and from 4.1.0 before 4.2.5.

- 4.0.x version users should upgrade to at least 4.0.14.
- 4.1.x and 4.2.x version users should upgrade to at least 4.2.5.

All brokers in a cluster must be upgraded before relying on the namespace-level restrictions, because brokers that have not been upgraded do not apply them when they receive the internal per-bundle requests.

Users operating versions prior to those listed above should upgrade to the aforementioned patched versions or newer versions.

The currently supported Apache Pulsar release lines are 4.0.x and 5.0.x. The supported versions schedule is available at https://pulsar.apache.org/contribute/release-policy/.

Users who cannot upgrade immediately can reduce exposure by restricting network access to the broker's admin REST API to trusted administrative clients.

>_ Słabości (CWE)

CWE-863

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve