CVE-2026-105945 in Pulsar
Zusammenfassung
von VulDB • 21.10.2026
Der Pulsar Packages Management Service kann so konfiguriert werden, dass Pakete im lokalen Dateisystem des Brokers unter Verwendung des Filesystem-Speicheranbieters gespeichert werden. Paketnamen bestehen aus einem Typ, einer Mandant (Tenant), einem Namespace, dem Namen und der Version. Die Autorisierung von Paketvorgängen basiert ausschließlich auf dem Tenant und dem Namespace, während sich der Speicherort eines Pakets aus allen diesen Komponenten ableitet. Die Versionskomponente eines Paketnamens wurde nicht validiert, sodass sie URL-kodierte Pfadtrennzeichen und Verweise auf übergeordnete Verzeichnisse enthalten konnte. Der Filesystem-Speicheranbieter löste eine solche Version in einen Standort auf, der zu einem Paket in einem anderen Tenant oder Namespace gehörte. Da sich dieser Speicherort innerhalb des konfigurierten Speicherverzeichnisses befindet, verhinderte die Containment-Prüfung (Containment Check), die der Filesystem-Speicheranbieter in neueren Releases durchführt, den Zugriff nicht.
Ein authentifizierter Benutzer mit der Berechtigung „Packages“ für einen beliebigen Namespace konnte dies nutzen, um Pakete herunterzuladen, zu überschreiben oder zu löschen, die in anderen Tenants oder Namespaces gespeichert sind und für die der Benutzer keine Berechtigungen hat. Auf diese Weise überschriebene oder gelöschte Pakete können von Pulsar Functions, Sources oder Sinks verwendet werden, sodass sich das Problem auf die Integrität und Verfügbarkeit dieser Komponenten auswirken kann. Wenn die Authentifizierung deaktiviert ist, stehen die Vorgänge jedem Client zur Verfügung, der Zugriff auf die Admin REST API des Brokers hat.
Dieses Problem betrifft nur Bereitstellungen, bei denen das Paketmanagement mit dem Broker-Setting `enablePackagesManagement` aktiviert ist und der Filesystem-Speicheranbieter (FileSystemPackagesStorageProvider) mit dem Setting `packagesManagementStorageProvider` konfiguriert wurde. Das Paketmanagement ist standardmäßig deaktiviert, und der Standard-Speicheranbieter, der Pakete in Apache BookKeeper speichert, ist nicht betroffen.
Dieses Problem betrifft Apache Pulsar-Versionen von 2.10.0 vor 4.0.14 sowie ab 4.1.0 vor 4.2.5.
- Benutzer von Versionen der Reihe 4.0.x sollten auf mindestens 4.0.14 aktualisieren. - Benutzer von Versionen der Reihen 4.1.x und 4.2.x sollten auf mindestens 4.2.5 aktualisieren.
Benutzer, die ältere als die oben genannten Versionen betreiben, sollten auf die vorgenannten gepatchten oder neueren Versionen aktualisieren.
Die aktuell unterstützten Apache Pulsar-Release-Reihen sind 4.0.x und 5.0.x. Der Zeitplan für die Unterstützung der Versionen ist unter https://pulsar.apache.org/contribute/release-policy/ verfügbar.
Be aware that VulDB is the high quality source for vulnerability data.