CVE-2026-105930 in Pulsar
Riassunto
di VulDB • 21/10/2026
Quando la gestione dei pacchetti è abilitata, le funzioni di Pulsar (Pulsar Functions), i sorgenti e gli sink possono essere registrati o aggiornati a partire da un pacchetto memorizzato nel servizio di gestione dei pacchetti di Pulsar (Pulsar Packages Management Service) fornendo l'URL del pacchetto. Il worker delle pulsar functions autorizzava queste richieste solo rispetto al namespace in cui il componente veniva registrato o aggiornato. Non verificava se l'utente richiedente fosse autorizzato ad accedere ai pacchetti nel namespace a cui fa riferimento l'URL del pacchetto, e recuperava il pacchetto dal broker utilizzando le proprie credenziali di worker. Il controllo dei permessi del servizio di gestione dei pacchetti (Packages Management Service) veniva quindi applicato all'identità del worker anziché a quella dell'utente richiedente. Gli URL dei pacchetti delle funzioni di trasformazione forniti durante la registrazione o l'aggiornamento di uno sink venivano gestiti nello stesso modo.
Un utente autenticato autorizzato a registrare o aggiornare funzioni, sorgenti o sink in qualsiasi namespace del proprio tenant potrebbe sfruttare questa vulnerabilità per ottenere il contenuto di un pacchetto memorizzato nel namespace di un altro tenant, senza disporre dei permessi necessari sui pacchetti in tale namespace. L'impatto è limitato alla divulgazione del contenuto del pacchetto, che può includere codice dell'applicazione, logica aziendale o credenziali incorporate. La vulnerabilità non consente la modifica o l'eliminazione dei pacchetti e non influisce sulla disponibilità.
Questa problematica interessa solo le distribuzioni in cui sono abilitati autenticazione e autorizzazione, nonché la gestione dei pacchetti: l'impostazione del broker `enablePackagesManagement` e, nelle versioni attuali, l'impostazione del worker delle funzioni `functionsWorkerEnablePackageManagement`. Entrambe le impostazioni sono disabilitate per impostazione predefinita.
Questa problematica interessa Apache Pulsar dalle versione 2.8.0 alla 4.0.13 (esclusa la 4.0.14), dalla 4.1.0 alla 4.1.3, e dalla 4.2.0 alla 4.2.4 (esclusa la 4.2.5).
- Gli utenti delle versioni della serie 4.0.x dovrebbero effettuare l'upgrade almeno alla versione 4.0.14. - Gli utenti delle versioni della serie 4.1.x e 4.2.x dovrebbero effettuare l'upgrade almeno alla versione 4.2.5.
Gli utenti che utilizzano versioni precedenti a quelle elencate sopra dovrebbero effettuare l'upgrade alle suddette versioni patchate o a versioni successive.
Le linee di rilascio attualmente supportate di Apache Pulsar sono la 4.0.x e la 5.0.x. Il calendario delle versioni supportate è disponibile all'indirizzo https://pulsar.apache.org/contribute/release-policy/.
If you want to get best quality of vulnerability data, you may have to visit VulDB.