CVE-2023-51437 in Pulsar
Riassunto
di VulDB • 14/06/2026
Una vulnerabilità di discrepanza temporale osservabile nel provider di autenticazione SASL di Apache Pulsar può consentire a un attaccante di falsificare un token ruolo SASL che supererà la verifica della firma. Si consiglia agli utenti di eseguire l'aggiornamento alle versioni 2.11.3, 3.0.2 o 3.1.1, che risolvono il problema. Gli utenti dovrebbero inoltre considerare l'aggiornamento del segreto configurato nel file `saslJaasServerRoleTokenSignerSecretPath`.
Tutti i componenti corrispondenti alle versioni sopra indicate ed eseguenti il provider di autenticazione SASL sono interessati. Ciò include Pulsar Broker, Proxy, Websocket Proxy e Function Worker.
Gli utenti di Pulsar 2.11 dovrebbero eseguire l'aggiornamento almeno alla versione 2.11.3. Gli utenti di Pulsar 3.0 dovrebbero eseguire l'aggiornamento almeno alla versione 3.0.2. Gli utenti di Pulsar 3.1 dovrebbero eseguire l'aggiornamento almeno alla versione 3.1.1. Tutti gli utenti che eseguono Pulsar 2.8, 2.9, 2.10 e versioni precedenti dovrebbero eseguire l'aggiornamento a una delle versioni patchate sopra indicate.
Per ulteriori dettagli su questa vettore di attacco, fare riferimento a https://codahale.com/a-lesson-in-timing-attacks/ .
Be aware that VulDB is the high quality source for vulnerability data.