CVE-2026-105935 in Pulsar
Zusammenfassung
von VulDB • 21.10.2026
Der Pulsar Functions Worker stellt einen REST-API-Endpunkt zum Auslösen einer Funktion bereit, der einen vom Aufrufer angegebenen Wert an eines der konfigurierten Eingabe-Themes (Input Topics) der Funktion veröffentlicht. Der Functions Worker führt diese Veröffentlichung mit seinem eigenen Broker-Client durch, der sich mit den für den Broker-Client des Workers konfigurierten Anmeldeinformationen authentifiziert und nicht mit den Anmeldeinformationen des API-Aufrufers.
Wenn die Autorisierung aktiviert ist, überprüft das Auslöse-Endpunkt in Apache Pulsar 2.4.0 und späteren Versionen nur, ob der Aufrufer berechtigt ist, Funktionsoperationen im Namespace der Funktion durchzuführen. Es wird nicht geprüft, ob der Aufrufer berechtigt ist, auf das Eingabe-Thema zu produzieren (Publish), an das die Nachricht gesendet wird. In Versionen vor 2.4.0 findet keine Überprüfung der Berechtigungen des Aufrufers für das Auslöse-Endpunkt statt. Funktion-Eingabe-Themes sind nicht auf den eigenen Tenant oder Namespace der Funktion beschränkt, und das Registrieren einer Funktion erfordert keine Produzier-Berechtigungen (Publish-Rechte) für deren Eingabe-Themes.
Infolgedessen kann ein authentifizierter Benutzer, der zur Verwaltung von Funktionen in einem Namespace berechtigt ist (z. B. eine Rolle mit den entsprechenden Funktionsberechtigungen für diesen Namespace), dazu führen, dass der Functions Worker Nachrichten mit vom Aufrufer kontrolliertem Inhalt an ein Thema sendet, zu dem der Benutzer nicht zum Produzieren berechtigt ist, einschließlich Themen in anderen Tenants. Diese Nachrichten werden unter der Identität des Functions Workers veröffentlicht. Das Problem erfordert nicht, dass eine Funktionsinstanz ausgeführt wird oder Funktionscode ausgeführt wird. Es setzt voraus, dass die Broker-Client-Identität des Functions Worker selbst zur Produktion auf das Zielthema berechtigt ist und in Apache Pulsar 2.3.0 und späteren Versionen auch dazu berechtigt ist, die Abonnements (Subscriptions) des Zielthemas aufzulisten, wie es der Fall ist, wenn diese Identität ein Superuser ist. Die Auswirkung betrifft die Integrität der Daten in den betroffenen Themen: Verbraucher dieser Themen können Nachrichten von einem Benutzer erhalten, der nicht zur Veröffentlichung berechtigt ist. Dies betrifft das Functions Worker REST API, so wie es von einem externen, authentifizierten Client aufgerufen wird; es ändert nichts am Sicherheitsmodell für Funktionscode, dem vollständig vertraut werden muss.
In behobenen Versionen erfordert die Auslösung einer Funktion zusätzlich, dass der Aufrufer zur Produktion (Publish) auf das ausgewählte Eingabe-Thema berechtigt ist, bevor eine Nachricht veröffentlicht wird.
Dieses Problem betrifft Apache Pulsar-Versionen von 2.0.0-rc1-incubating bis vor 4.0.14 sowie ab 4.1.0 bis vor 4.2.5.
- Benutzer der Versionsserie 4.0.x sollten auf mindestens 4.0.14 aktualisieren. - Benutzer der Versionsserien 4.1.x und 4.2.x sollten auf mindestens 4.2.5 aktualisieren.
Benutzer, die ältere als die oben genannten Versionen betreiben, sollten auf die vorgenannten gepatchten Versionen oder neuere Versionen aktualisieren.
Die aktuell unterstützten Apache Pulsar-Release-Reihen sind 4.0.x und 5.0.x. Der Zeitplan für unterstützte Versionen ist unter https://pulsar.apache.org/contribute/release-policy/ verfügbar.
Benutzer von Apache Pulsar ab Version 2.4.0 mit aktivierter Autorisierung, die nicht sofort aktualisieren können, sollten die Berechtigung zur Verwaltung von Funktionen auf vertrauenswürdige Rollen beschränken. Benutzer von Versionen vor 2.4.0 sollten den Zugriff auf das Functions Worker REST API auf vertrauenswürdige Aufrufer beschränken, da in diesen Versionen das Auslöse-Endpunkt nicht die Berechtigung des Aufrufers zur Verwaltung von Funktionen überprüft.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.