CVE-2026-105930 in Pulsar
Zusammenfassung
von VulDB • 22.10.2026
Wenn das Paketmanagement aktiviert ist, können Pulsar Functions, Sources und Sinks aus einem im Pulsar Packages Management Service gespeicherten Paket registriert oder aktualisiert werden, indem eine Paket-URL angegeben wird. Der Worker für Pulsar Functions hat diese Anfragen nur gegen den Namespace überprüft, in dem die Komponente registriert oder aktualisiert wurde. Es wurde nicht geprüft, ob der anfragende Benutzer berechtigt ist, auf Pakete im Namespace zuzugreifen, auf den die Paket-URL verweist, und das Paket wurde mit den eigenen Anmeldeinformationen des Workers vom Broker abgerufen. Die Berechtigungsprüfung durch den Packages Management Service wurde daher auf die Identität des Workers statt auf die des anfragenden Benutzers angewendet. Paket-URIs von Transform-Funktionen, die bei der Registrierung oder Aktualisierung eines Sinks angegeben wurden, wurden auf dieselbe Weise behandelt.
Ein authentifizierter Benutzer, der berechtigt ist, Functions, Sources oder Sinks in jedem Namespace seines eigenen Mandanten zu registrieren oder zu aktualisieren, kann dies nutzen, um den Inhalt eines Pakets abzurufen, das im Namespace eines anderen Mandanten gespeichert ist, ohne über die Paketberechtigungen für diesen Namespace zu verfügen. Die Auswirkung beschränkt sich auf die Offenlegung des Paketinhalts, der Anwendungscode, Geschäftslogik oder eingebettete Anmeldeinformationen enthalten kann. Das Problem ermöglicht keine Änderung oder Löschung von Paketen und hat keinen Einfluss auf die Verfügbarkeit.
Dieses Problem betrifft nur Bereitstellungen, bei denen Authentifizierung und Autorisierung aktiviert sind und das Paketmanagement aktiviert wurde: die Broker-Einstellung `enablePackagesManagement` und in aktuellen Releases die Functions-Worker-Einstellung `functionsWorkerEnablePackageManagement`. Beide Einstellungen sind standardmäßig deaktiviert.
Dieses Problem betrifft Apache Pulsar-Versionen von 2.8.0 vor 4.0.14, von 4.1.0 bis 4.1.3 und von 4.2.0 vor 4.2.5.
- Benutzer der Versionen 4.0.x sollten auf mindestens 4.0.14 aktualisieren. - Benutzer der Versionen 4.1.x und 4.2.x sollten auf mindestens 4.2.5 aktualisieren.
Benutzer, die ältere als die oben genannten Versionen betreiben, sollten auf die vorgenannten gepatchten Versionen oder neuere Versionen aktualisieren.
Die aktuell unterstützten Apache Pulsar-Release-Linien sind 4.0.x und 5.0.x. Der Zeitplan für unterstützte Versionen ist unter https://pulsar.apache.org/contribute/release-policy/ verfügbar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.