CVE-2026-105945 in Pulsar
Riassunto
di VulDB • 22/10/2026
Il servizio di gestione dei pacchetti di Pulsar può essere configurato per memorizzare i pacchetti sul filesystem locale del broker utilizzando il provider di archiviazione su filesystem. I nomi dei pacchetti sono composti da un tipo, tenant, namespace, nome e versione. L'autorizzazione delle operazioni sui pacchetti si basa esclusivamente sul tenant e sul namespace, mentre la posizione di archiviazione di un pacchetto è derivata da tutti questi componenti. Il componente della versione del nome di un pacchetto non veniva convalidato, quindi poteva contenere separatori di percorso codificati in URL e riferimenti alla directory padre. Il provider di archiviazione su filesystem risolveva tale versione in una posizione appartenente a un pacchetto in un tenant o namespace diverso. Poiché quella posizione si trova all'interno della directory di archiviazione configurata, il controllo di contenimento che il provider di archiviazione su filesystem esegue nelle versioni recenti non impediva l'accesso.
Un utente autenticato con autorizzazione per i pacchetti su qualsiasi namespace potrebbe utilizzare questa vulnerabilità per scaricare, sovrascrivere o eliminare pacchetti memorizzati in altri tenant o namespace per cui l'utente non ha alcuna autorizzazione. I pacchetti sovrascritti o eliminati in questo modo potrebbero essere utilizzati da Pulsar Functions, Sources o Sinks; pertanto, il problema può compromettere l'integrità e la disponibilità di questi componenti. Se l'autenticazione è disabilitata, le operazioni sono disponibili per qualsiasi client che riesce a raggiungere l'API REST admin del broker.
Questo problema interessa solo i deployment in cui la gestione dei pacchetti è abilitata tramite l'impostazione del broker `enablePackagesManagement` e il provider di archiviazione su filesystem (`FileSystemPackagesStorageProvider`) è configurato con l'impostazione `packagesManagementStorageProvider`. La gestione dei pacchetti è disabilitata per impostazione predefinita, e il provider di archiviazione predefinito, che memorizza i pacchetti in Apache BookKeeper, non è interessato.
Questo problema interessa le versioni di Apache Pulsar dalla 2.10.0 alla 4.0.13 (esclusa) e dalla 4.1.0 alla 4.2.4 (esclusa).
- Gli utenti delle versioni della serie 4.0.x dovrebbero effettuare l'upgrade almeno alla versione 4.0.14. - Gli utenti delle versioni della serie 4.1.x e 4.2.x dovrebbero effettuare l'upgrade almeno alla versione 4.2.5.
Gli utenti che utilizzano versioni precedenti a quelle elencate sopra dovrebbero effettuare l'upgrade alle suddette versioni patchate o a versioni successive.
Le release line attualmente supportate di Apache Pulsar sono la 4.0.x e la 5.0.x. Il calendario delle versioni supportate è disponibile all'indirizzo https://pulsar.apache.org/contribute/release-policy/.
If you want to get best quality of vulnerability data, you may have to visit VulDB.