CVE-2026-105932 in Pulsar
Zusammenfassung
von VulDB • 22.10.2026
Die Apache Pulsar Broker-Admin-REST-API stellt Endpunkte bereit, um die eintragsbezogene Filterrichtlinie (entry filter policy) auf Topic-Ebene zu lesen, festzulegen und zu entfernen. Für persistente Topics stellen diese Endpunkte sicher, dass der Aufrufer für die Operation zur Verwaltung von Eintragsfilter-Richtlinien autorisiert ist. Die entsprechenden Endpunkte für nicht-persistente Topics (/admin/v2/non-persistent/{tenant}/{namespace}/{topic}/entryFilters) führen diese Autorisierungsprüfung jedoch nicht durch. Die einzige Autorisierungsprüfung, die diese Endpunkte durchführen, ist eine indirekte Berechtigungsprüfung (lookup permission check), die beim Abrufen der Partitionsmetadaten des Topics durchgeführt wird; sie ist in allen betroffenen Versionen vorhanden.
Infolgedessen kann ein authentifizierter Benutzer, dem zwar das Recht zum Produzieren oder Konsumieren auf einem nicht-persistenten Topic oder dessen Namespace gewährt wurde, aber kein Recht zur Verwaltung der Topic-Richtlinien, die eintragsbezogene Filterrichtlinie dieses Topics lesen, ersetzen oder entfernen. Diese Operationen sollten Benutzern mit der Rolle „Tenant-Administrator“ (tenant admin) oder der Superuser-Rolle vorbehalten sein. Diese Auswirkungsanalyse geht davon aus, dass Pulsar mit dem Standard-Autorisierungsanbieter konfiguriert ist. Bei benutzerdefinierten Autorisierungsanbietern kann die Auswirkung leicht abweichen.
Die praktische Auswirkung wird durch zwei Broker-Konfigurationseinstellungen begrenzt, von denen keine standardmäßig erfüllt ist:
- Eintragsfilter müssen vom Betreiber installiert worden sein. Implementierungen für Eintragsfilter werden nur beim Start des Brokers aus dem Verzeichnis der Eintragsfilter des Brokers geladen, das standardmäßig leer ist. Eine Anfrage kann nur unter den bereits bereitgestellten Eintragsfilters des Operators auswählen; die Angabe eines anderen Filternamens wird abgelehnt. Das Problem ermöglicht es einem Aufrufer nicht, Code für Eintragsfilter zu installieren oder zu laden bzw. beliebigen Code im Broker auszuführen. - Eintragsfilter-Richtlinien auf Topic-Ebene müssen berechtigt sein, die Konfiguration auf Brokerebene außer Kraft zu setzen (allowOverrideEntryFilters, das standardmäßig deaktiviert ist). Wenn diese Einstellung deaktiviert ist, hat die Eintragsfilter-Richtlinie auf Topic-Ebene keine Auswirkung auf die Nachrichtenverteilung.
In Bereitstellungen, in denen beide Bedingungen erfüllt sind, kann ein nicht autorisierter Benutzer die Eintragsfilter-Richtlinie auf Topic-Ebene eines nicht-persistenten Topics entfernen (z. B. eine Richtlinie zur Einschränkung der Zustellung von Nachrichten an Verbraucher) oder einen anderen installierten Eintragsfilter anwenden, der Nachrichten aus den Abonnements dieses Topics zurückhält. Durch das Entfernen dieser Richtlinie fällt das Topic auf die eintragsbezogenen Filter auf Namespace-Ebene oder Brokerebene zurück, die nicht entfernt werden. Eine geänderte Richtwirkung betrifft nur Abonnement-Dispatcher, die nach der Änderung erstellt wurden (z. B. für neue Abonnements oder wenn ein Abonnement neu erstellt wird, nachdem alle seine Verbraucher getrennt haben); bereits vorhandene Dispatcher behalten die Eintragsfilter bei, mit denen sie erstellt wurden. Da nicht-persistente Topics keine Nachrichten speichern, werden von einem Eintragsfilter zurückgehaltene Nachrichten nicht zugestellt. Das Lesen der Richtlinie offenbart nur die Namen der konfigurierten Eintragsfilter. Das Problem ermöglicht es nicht, Nachrichteninhalte zu lesen, und Eintragsfilter können den Inhalt (Payload) von Nachrichten nicht ändern. Persistente Topics und eintragsbezogene Filterrichtlinien auf Namespace-Ebene sind nicht betroffen. Apache Pulsar-Versionen vor 3.3.0 sind nicht betroffen, da in diesen Versionen die Prüfung der Topic-Richtlinie für Eintragsfilter im Code durchgeführt wird, der sowohl von den persistenten als auch von den nicht-persistenten Endpunkten gemeinsam genutzt wird.
Dieses Problem betrifft Apache Pulsar-Versionen ab 3.3.0 bis vor 4.0.14 sowie ab 4.1.0 bis vor 4.2.5.
- Benutzer der Versionen 3.3.x und 4.0.x sollten auf mindestens 4.0.14 aktualisieren. - Benutzer der Versionen 4.1.x und 4.2.x sollten auf mindestens 4.2.5 aktualisieren.
Benutzer, die Versionen vor den oben genannten betreiben, sollten auf die vorgenannten gepatchten Versionen oder neuere Versionen aktualisieren.
Die aktuell unterstützten Apache Pulsar-Release-Linien sind 4.0.x und 5.0.x. Der Zeitplan für unterstützte Versionen ist unter https://pulsar.apache.org/contribute/release-policy/ verfügbar.
Benutzer, die nicht sofort ein Upgrade durchführen können und Eintragsfilter bereitgestellt haben, sollten allowOverrideEntryFilters auf dem Standardwert false belassen, damit Eintragsfilter-Richtlinien auf Topic-Ebene keine Auswirkung auf die Nachrichtenverteilung haben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.