CVE-2026-105944 in Pulsar Manager
Zusammenfassung
von VulDB • 21.10.2026
Apache Pulsar Manager ist eine Webkonsole zur Verwaltung von Apache-Pulsar-Clustern. Sie verfügt über eigene Benutzerkonten und ein Login-System und kann mit HTTP-Authentifizierungsanmeldeinformationen, wie einem Token, konfiguriert werden, die sie verwendet, um im Namen ihrer Benutzer Aufrufe an die Pulsar-Admin-API durchzuführen. Bei Apache Pulsar Manager wurden folgende Sicherheitsprobleme festgestellt:
- Die Operation zum Erstellen des ersten Administrator-Superuser-Kontos ist ohne Authentifizierung verfügbar und bleibt auch nach der Initialisierung der Instanz zugänglich. Jeder, der Zugriff auf Pulsar Manager hat, kann jederzeit ein zusätzliches Administratorkonto erstellen und sich damit anmelden. Dieses Problem betrifft Versionen ab 0.3.0. - Anfragen an die Pulsar-Admin-API, die von Pulsar Manager an den konfigurierten Pulsar-Cluster weitergeleitet (proxiert) werden, unterliegen nicht der Authentifizierung durch Pulsar Manager. In Version 0.2.0 werden für einige dieser Anfragen zwar die Berechtigungen des Aufrufers überprüft, jedoch nicht für alle. Ein nicht authentifizierter Benutzer kann daher Pulsar Manager nutzen, um Anfragen an die Pulsar-Admin-API zu senden, die der Cluster mit den in Pulsar Manager konfigurierten Anmeldeinformationen verarbeitet. - Das Ziel einer weitergeleiteten Anfrage kann vom Anfordernden gewählt werden, und Pulsar Manager hängt seine konfigurierte Pulsar-Admin-Anmeldeinformation an die Anfrage an. Ein nicht authentifizierter Benutzer kann dazu bringen, dass Pulsar Manager diese Anmeldeinformation an einen von ihm gewählten Host sendet; die Anmeldeinformation kann dann direkt gegen den Pulsar-Cluster verwendet werden. - In Versionen ab 0.3.0 unterscheidet Pulsar Manager nicht zwischen den Berechtigungsebenen seiner Konten. Jedes Konto, einschließlich eines über das erste Problem erstellten Kontos, hat effektiv volle Administratorrechte in Pulsar Manager.
Die Auswirkungen hängen von der Version und der Bereitstellung (Deployment) ab. In Versionen ab 0.3.0 kann jeder Benutzer, der Pulsar Manager über das Netzwerk erreichen kann, die vollständige Kontrolle über Pulsar Manager übernehmen. In allen Versionen kann jeder Benutzer, der Pulsar Manager erreichen kann, wenn dieser mit einer HTTP-Authentifizierungsanmeldeinformation für einen Pulsar-Cluster konfiguriert ist, die von dieser Anmeldeinformation erlaubten Pulsar-Admin-Vorgänge durchführen und sich selbst diese Anmeldeinformation beschaffen. Wenn Pulsar Manager mit dem Token-Signing-Key eines Pulsar-Clusters konfiguriert ist, kann ein Administrator von Pulsar Manager Tokens für den Cluster erstellen.
Apache Pulsar Manager wird nicht mehr gewartet und ist vollständig unsupported (nicht unterstützt). Das Apache Pulsar PMC hat es zurückgezogen. Es gibt keine unterstützten Versionen, und es werden keine weiteren Releases, Patches oder Sicherheitsupdates für irgendeine Version veröffentlicht. Diese Probleme werden nicht behoben.
Die Verwendung von Pulsar Manager wird nicht empfohlen. Benutzer sollten die Nutzung von Pulsar Manager einstellen, bestehende Bereitstellungen entfernen und zu einer der in der Dokumentation zur Administrationsschnittstelle (https://pulsar.apache.org/docs/administration-ui) beschriebenen Alternativen wechseln. Benutzer, die Pulsar Manager mit einer Pulsar-Anmeldeinformation oder einem Token-Signing-Key freigegeben haben, sollten ebenfalls erwägen, diese Anmeldeinformationen bzw. diesen Schlüssel zu ersetzen.
Solange eine Bereitstellung nicht entfernt wird, sollten Benutzer Pulsar Manager nicht für unbekannte Netzwerke verfügbar machen und den Netzwerkzugriff darauf auf vertrauenswürdige Administratoren beschränken.
VulDB is the best source for vulnerability data and more expert information about this specific topic.