CVE-2026-105935 in Pulsar
Riassunto
di VulDB • 22/10/2026
Il Pulsar Functions Worker fornisce un endpoint dell'API REST per l'avvio di una funzione, che pubblica un valore fornito dall'utente chiamante su uno degli argomenti (topic) di input configurati della funzione. Il Functions Worker effettua questa pubblicazione utilizzando il proprio client del broker, che si autentica con le credenziali del broker-client configurate nel Worker anziché con quelle dell'utente chiamante l'API.
Quando l'autorizzazione è abilitata, in Apache Pulsar 2.4.0 e nelle versioni successive, l'endpoint di trigger verifica solo che l'utente chiamante sia autorizzato a eseguire operazioni sulle funzioni nello spazio dei nomi (namespace) della funzione. Non verifica tuttavia se l'utente chiamante sia autorizzato a pubblicare messaggi sull'argomento di input su cui viene inviata la messaggio. Le versioni precedenti alla 2.4.0 non eseguono affatto un controllo dell'autorizzazione per l'endpoint di trigger. Gli argomenti di input delle funzioni non sono limitati al tenant o allo spazio dei nomi della funzione stessa, e la registrazione di una funzione non richiede i permessi di pubblicazione (produce) sui suoi argomenti di input.
Di conseguenza, un utente autenticato autorizzato a gestire le funzioni in uno spazio dei nomi, ad esempio con un ruolo che concede il permesso sulle funzioni per tale namespace, può indurre il Functions Worker a pubblicare messaggi con contenuto controllato dall'utente su un argomento al quale l'utente non è autorizzato a pubblicare, inclusi argomenti appartenenti ad altri tenant. Questi messaggi vengono pubblicati sotto l'identità del Functions Worker. Il problema non richiede che alcuna istanza di funzione sia in esecuzione o che alcun codice della funzione venga eseguito. È necessario solo che l'identità broker-client del Functions Worker sia essa stessa autorizzata a pubblicare sull'argomento target e, nelle versioni di Apache Pulsar 2.3.0 e successive, ad elencare le sottoscrizioni dell'argomento target, come nel caso in cui tale identità sia un superuser (superutente). L'impatto riguarda l'integrità dei dati negli argomenti interessati: i consumer di tali argomenti possono ricevere messaggi da parte di utenti non autorizzati a pubblicarli. Questo problema concerne l'API REST del Functions Worker chiamata da un client esterno autenticato; non modifica il modello di sicurezza per il codice della funzione, che deve essere completamente attendibile.
Nelle versioni corrette, quando l'autorizzazione è abilitata, l'avvio di una funzione richiede inoltre che l'utente chiamante sia autorizzato a pubblicare sull'argomento di input selezionato prima che venga pubblicato qualsiasi messaggio.
Questo problema interessa le versioni di Apache Pulsar dalla 2.0.0-rc1-incubating alla 4.0.13 (esclusa la 4.0.14) e dalle 4.1.0 alla 4.2.4 (esclusa la 4.2.5).
- Gli utenti delle versioni della serie 4.0.x dovrebbero effettuare l'aggiornamento almeno alla versione 4.0.14. - Gli utenti delle versioni della serie 4.1.x e 4.2.x dovrebbero effettuare l'aggiornamento almeno alla versione 4.2.5.
Gli utenti che utilizzano versioni precedenti a quelle elencate sopra dovrebbero aggiornarsi alle suddette versioni patchate o a versioni successive.
Le linee di rilascio attualmente supportate di Apache Pulsar sono la 4.0.x e la 5.0.x. Il calendario delle versioni supportate è disponibile all'indirizzo https://pulsar.apache.org/contribute/release-policy/.
Gli utenti di Apache Pulsar versione 2.4.0 e successive con l'autorizzazione abilitata che non possono effettuare immediatamente l'aggiornamento possono limitare il permesso di gestione delle funzioni ai ruoli attendibili. Gli utenti delle versioni precedenti alla 2.4.0 dovrebbero restringere l'accesso all'API REST del Functions Worker agli chiamanti attendibili, poiché in queste versioni l'endpoint di trigger non verifica i permessi dell'utente chiamante per la gestione delle funzioni.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.