Krytyczny Odebrany

CVE-2026-105944

opublikowano: 21.10.2026, 21:16

modyfikacja: 22.10.2026, 00:16

Ocena CVSS

10.0

Krytyczny · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Apache Pulsar Manager to konsola internetowa służąca do administrowania klastrami Apache Pulsar. Ma własne konta użytkowników i login, a także można go skonfigurować za pomocą danych uwierzytelniających HTTP, takich jak token, których używa do wywoływania interfejsu API administratora Pulsar w imieniu swoich użytkowników. Pulsar Manager ma następujące problemy związane z bezpieczeństwem:

- Operacja utworzenia początkowego konta administratora (superużytkownika) jest dostępna bez uwierzytelnienia i pozostaje dostępna po zainicjowaniu instancji. Każdy, kto ma dostęp do Pulsar Managera, może w każdej chwili założyć dodatkowe konto administratora i zalogować się za jego pomocą. Ten problem dotyczy wersji 0.3.0 i nowszych.
- Żądania kierowane do interfejsu API administratora Pulsar, które Pulsar Manager przesyłają do skonfigurowanego klastra Pulsar, nie podlegają uwierzytelnieniu Pulsar Managera. Wersja 0.2.0 sprawdza uprawnienia osoby wywołującej dla niektórych z tych żądań, ale nie dla wszystkich. Dlatego nieuwierzytelniony użytkownik może używać Pulsar Managera do wysyłania żądań do interfejsu API Pulsar admin, który jest przetwarzany przez klaster z poświadczeniami skonfigurowanymi w Pulsar Manager.
- Miejsce docelowe żądania przesłanego przez serwer proxy może zostać wybrane przez osobę żądającą, a Menedżer Pulsar dołącza do żądania skonfigurowane dane uwierzytelniające administratora Pulsar. Nieuwierzytelniony użytkownik może zmusić Pulsar Manager do wysłania tego poświadczenia do hosta wybranego przez użytkownika, a następnie można je wykorzystać bezpośrednio w klastrze Pulsar.
- W wersji 0.3.0 i nowszych Pulsar Manager nie rozróżnia poziomów uprawnień swoich kont. Każde konto, także to utworzone w pierwszym numerze, faktycznie posiada pełne uprawnienia administracyjne w Pulsar Managerze.

Wpływ zależy od wersji i wdrożenia. W wersji 0.3.0 i nowszych każdy użytkownik, który może połączyć się z Pulsar Managerem przez sieć, może przejąć pełną kontrolę nad Pulsar Managerem. We wszystkich wersjach, gdy Pulsar Manager jest skonfigurowany z poświadczeniem uwierzytelniania HTTP dla klastra Pulsar, każdy użytkownik, który może uzyskać dostęp do Pulsar Manager, może wykonywać operacje administracyjne w Pulsar, na które pozwala to poświadczenie, i może sam uzyskać poświadczenie. Kiedy Pulsar Manager jest skonfigurowany z kluczem podpisywania tokenu klastra Pulsar, administrator Pulsar Managera może tworzyć tokeny dla klastra.

Apache Pulsar Manager nie jest już obsługiwany i jest całkowicie nieobsługiwany. Apache Pulsar PMC wycofał go. Nie ma obsługiwanych wersji i dla żadnej wersji nie będą wprowadzane żadne dalsze wydania, poprawki ani aktualizacje zabezpieczeń. Te problemy nie zostaną rozwiązane.

Nie zaleca się używania Pulsar Managera. Użytkownicy powinni zaprzestać korzystania z Pulsar Managera, usunąć istniejące wdrożenia i przejść do jednej z alternatyw opisanych w dokumentacji interfejsu administracyjnego (https://pulsar.apache.org/docs/administration-ui). Użytkownicy, którzy udostępnili Pulsar Manager skonfigurowany z poświadczeniem Pulsar lub kluczem podpisywania tokenu, powinni również rozważyć wymianę tego poświadczenia lub klucza.

Do czasu usunięcia wdrożenia użytkownicy nie powinni narażać Pulsar Managera na działanie niezaufanych sieci i powinni ograniczyć dostęp sieciowy do niego do zaufanych administratorów.

Apache Pulsar Manager is a web console for administering Apache Pulsar clusters. It has its own user accounts and login, and it can be configured with an HTTP authentication credential, such as a token, that it uses to call the Pulsar admin API on behalf of its users. Pulsar Manager has the following security issues:

- The operation for creating the initial administrator (superuser) account is available without authentication, and it remains available after the instance has been initialized. Anyone who can reach Pulsar Manager can create an additional administrator account at any time and log in with it. This issue affects versions 0.3.0 and later.
- Requests to the Pulsar admin API that Pulsar Manager proxies to the configured Pulsar cluster are not subject to Pulsar Manager's authentication. Version 0.2.0 checks the caller's permissions for some of these requests, but not for all of them. An unauthenticated user can therefore use Pulsar Manager to send requests to the Pulsar admin API, which the cluster processes with the credential configured in Pulsar Manager.
- The destination of a proxied request can be chosen by the requester, and Pulsar Manager attaches its configured Pulsar admin credential to the request. An unauthenticated user can make Pulsar Manager send this credential to a host of the user's choosing, and the credential can then be used directly against the Pulsar cluster.
- In versions 0.3.0 and later, Pulsar Manager does not distinguish between privilege levels of its accounts. Every account, including one created through the first issue, effectively has full administrative privileges in Pulsar Manager.

The impact depends on the version and the deployment. In versions 0.3.0 and later, any user who can reach Pulsar Manager over the network can take full control of Pulsar Manager. In all versions, when Pulsar Manager is configured with an HTTP authentication credential for a Pulsar cluster, any user who can reach Pulsar Manager can perform the Pulsar admin operations that this credential permits and can obtain the credential itself. When Pulsar Manager is configured with the token signing key of a Pulsar cluster, an administrator of Pulsar Manager can create tokens for the cluster.

Apache Pulsar Manager is no longer maintained and is completely unsupported. The Apache Pulsar PMC has retired it. There are no supported versions, and no further releases, fixes or security updates will be made for any version. These issues will not be fixed.

Using Pulsar Manager is not recommended. Users should stop using Pulsar Manager, remove existing deployments, and move to one of the alternatives described in the Administration UI documentation (https://pulsar.apache.org/docs/administration-ui). Users who have exposed Pulsar Manager configured with a Pulsar credential or token signing key should also consider replacing that credential or key.

Until a deployment is removed, users should not expose Pulsar Manager to untrusted networks, and should restrict network access to it to trusted administrators.

>_ Słabości (CWE)

CWE-306

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve