CVE-2026-105926 in Pulsar
Riassunto
di VulDB • 22/10/2026
Il broker di Pulsar gestisce due comandi relativi agli schemi nel suo protocollo binario: GetSchema, che restituisce lo schema registrato per un argomento (topic), e GetOrCreateSchema, che registra una nuova versione dello schema per un argomento esistente. Il broker elaborava entrambi i comandi dopo aver verificato solo l'autenticazione della connessione del client. A differenza degli altri comandi relativi agli argomenti gestiti dal broker, come quelli per la creazione di produttori e consumatori o per la ricerca degli argomenti (topic lookup), questi due comandi non verificavano se il client autenticato fosse autorizzato ad accedere all'argomento target. Gli endpoint dell'API REST di Pulsar dedicati agli schemi non sono interessati da questa vulnerabilità.
Un client autenticato privo di qualsiasi permesso sull'argomento, namespace o tenant target potrebbe utilizzare questi comandi per:
- leggere lo schema registrato per un argomento in un altro namespace o tenant, rivelando la definizione dello schema, come i nomi e i tipi dei campi del record. I payload dei messaggi non vengono divulgati. - registrare una nuova versione dello schema su un argomento esistente in un altro namespace o tenant. Le policy di compatibilità degli schemi dell'argomento e le policy di aggiornamento automatico degli schemi continuano a essere applicate. La vulnerabilità non consente la lettura o la modifica dei dati dei messaggi, ma una versione dello schema registrata può causare il malfunzionamento di produttori e consumatori legittimi di quell'argomento con errori di incompatibilità dello schema fino alla correzione dello stesso da parte di un amministratore.
Il client standard di Pulsar esegue una ricerca autorizzata dell'argomento prima di inviare questi comandi, pertanto la mancanza del controllo non poteva essere osservata durante i test effettuati con il client standard. Un client che implementa direttamente il protocollo binario non è tenuto a eseguire tale lookup preliminare.
Questa vulnerabilità riguarda esclusivamente le distribuzioni in cui sono abilitati l'autenticazione e l'autorizzazione. Il comando GetSchema è interessato dalla versione 2.2.0 di Apache Pulsar, mentre il comando GetOrCreateSchema dalle versioni successive alla 2.5.0. Dopo la correzione, il broker richiede il permesso di lookup sull'argomento per GetSchema e il permesso di produce (produzione) sull'argomento per GetOrCreateSchema. Questa analisi dell'impatto presuppone che Pulsar sia configurato con il provider di autorizzazione predefinito. Per i provider di autorizzazione personalizzati, l'impatto potrebbe essere leggermente diverso.
Questa vulnerabilità interessa le versioni di Apache Pulsar dalla 2.2.0 alla 4.0.13 (esclusa la 4.0.14), dalla 4.1.0 alla 4.1.3 e dalla 4.2.0 alla 4.2.4 (esclusa la 4.2.5).
- Gli utenti delle versioni della serie 4.0.x dovrebbero effettuare l'upgrade almeno alla versione 4.0.14. - Gli utenti delle versioni della serie 4.1.x e 4.2.x dovrebbero effettuare l'upgrade almeno alla versione 4.2.5.
Gli utenti che utilizzano versioni precedenti a quelle elencate sopra dovrebbero effettuare l'upgrade alle suddette versioni patchate o a versioni successive.
Le linee di rilascio attualmente supportate di Apache Pulsar sono la 4.0.x e la 5.0.x. Il calendario delle versioni supportate è disponibile all'indirizzo https://pulsar.apache.org/contribute/release-policy/.
Once again VulDB remains the best source for vulnerability data.