CVE-2026-105937 in Pulsar
Zusammenfassung
von VulDB • 22.10.2026
Apache Pulsar Shadow Topics (PIP-180) sind Themen, die die gespeicherten Nachrichten eines Quellthemas aus dem verwalteten Ledger dieses Themas lesen. Das Quellthema wird durch Festlegen der reservierten Thema-Eigenschaft PULSAR.SHADOW_SOURCE ausgewählt. Die Admin REST API akzeptiert diese Eigenschaft beim Erstellen eines nicht partitionierten oder partitionierten Themas und beim Aktualisieren der Eigenschaften eines bestehenden Themas. Auf diesen Pfaden autorisiert der Broker den Aufrufer nur gegen das zu erstellende oder aktualisierte Thema. Es erfolgt keine Autorisierung des Aufrufers gegenüber dem in der Eigenschaft genannten Quellthema. Die bestehende Berechtigung für die Shadow-Topic-Konfiguration (die SHADOW_TOPIC-Themenrichtlinie auf dem Quellthema) wird nur auf die admin REST API von Shadow Topics auf der Quellseite angewendet, nicht jedoch auf diese Pfade.
Infolgedessen kann ein authentifizierter Benutzer, der berechtigt ist, Themen zu erstellen oder Thema-Eigenschaften in einer Mandantenebene (Tenant) zu aktualisieren, ein Thema in dieser Mandantenebene an ein persistentes Thema in jeder anderen Mandantenebene binden. Bei dem Standard-Autorisierungsanbieter erfordern diese Vorgänge die Rolle des Tenant-Administrators für die eigene Mandantenebene des Benutzers. Der Benutzer benötigt keine Berechtigungen auf das Quellthema, dessen Namespace oder seine Mandantenebene. Diese Auswirkungsanalyse geht davon aus, dass Pulsar mit dem Standard-Autorisierungsanbieter konfiguriert ist. Bei benutzerdefinierten Autorisierungsanbietern kann die Auswirkung anders sein.
Der Benutzer kann dann vom Shadow Topic unter Verwendung nur der Berechtigungen für das eigene Thema konsumieren und behaltene Nachrichten empfangen, die im anderen Tenant auf dem Quellthema veröffentlicht wurden. Die Exposition beschränkt sich auf Nachrichten, die in den Ledgern des Quellthemas noch beibehalten und lesbar sind; mit clientseitiger Ende-zu-Ende-Verschlüsselung geschützte Nachrichten können ohne die Verschlüsselungsschlüssel nicht entschlüsselt werden. Ein Producer auf dem Shadow Topic kann auch eine neue Schema-Version unter dem Schema des Quellthemas registrieren, vorbehaltlich der Kompatibilitätseinstellungen für Schemata; bestehende Schema-Versionen werden nicht ersetzt.
Darüber hinaus wendet das verwaltete Ledger des Shadow Topics seine eigene Beibehaltung (Retention), Bereinigung (Trimming), Auslagerung und Löschung auf die Ledgers des Quellthemas an. Dies kann die Daten der Ledgers des Quellthemas dauerhaft aus BookKeeper und dem gestuften Speicher löschen, unabhängig von den eigenen Abonnements und der Aufbewahrungsrichtlinie des Quellthemas, einschließlich noch nicht bestätigter Nachrichten. Das Löschen des Shadow Topics kann auch die Ledgers des Quellthemas löschen. Dieser Datenverlust kann auch Shadow Topics betreffen, die von Administratoren absichtlich konfiguriert wurden.
Dieses Problem betrifft Apache Pulsar-Versionen ab 3.0.0 vor 4.0.14 und ab 4.1.0 vor 4.2.5. Die Apache Pulsar 2.x-Releases enthalten keine Shadow-Topic-Implementierung.
- Benutzer von Versionen der Reihe 4.0.x sollten auf mindestens 4.0.14 aktualisieren. - Benutzer von Versionen der Reihen 4.1.x und 4.2.x sollten auf mindestens 4.2.5 aktualisieren.
Benutzer, die ältere Versionen als die oben genannten betreiben, sollten auf die vorgenannten gepatchten Versionen oder neuere Versionen aktualisieren.
Die aktuell unterstützten Apache Pulsar-Release-Linien sind 4.0.x und 5.0.x. Der Zeitplan für unterstützte Versionen ist unter https://pulsar.apache.org/contribute/release-policy/ verfügbar.
In den behobenen Versionen sind Shadow Topics standardmäßig deaktiviert und werden durch die neue Broker-Konfigurationseinstellung enableShadowTopics gesteuert (Standardwert false). Solange sie deaktiviert sind, lehnt der Broker das Erstellen von Shadow Topics, das Festlegen der Eigenschaft PULSAR.SHADOW_SOURCE sowie das Laden oder Replizieren auf bestehende Shadow Topics ab. Bereitstellungen, die Shadow Topics verwenden, müssen nach dem Upgrade enableShadowTopics=true in der Broker-Konfiguration aller Broker festlegen; andernfalls werden vorhandene Shadow Topics nicht geladen. Wenn Shadow Topics aktiviert sind, erfordert das Binden eines Shadow Topics an ein Quellthema in einem anderen Tenant die Superuser-Rolle. Die behobenen Versionen verhindern auch, dass ein Shadow Topic die Ledgers und ausgelagerten Daten seines Quellthemas löscht oder bereinigt.
Betroffene Versionen bieten keine Konfigurationsoption zum Deaktivieren von Shadow Topics. Benutzer, die nicht sofort aktualisieren können, können die Exposition reduzieren, indem sie die Rolle des Tenant-Administrators nur vertrauenswürdigen Prinzipalen (Principals) gewähren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.