CVE-2026-105926

Pulsar broker-i öz binar protokolu üzrə iki sxem əmrini yerinə yetirir: mövzu üçün qeydiyyata alınmış sxemi qaytaran GetSchema və mövcud mövzu üçün yeni sxem versiyasını qeydiyyatdan keçirən GetOrCreateSchema. Broker hər iki əmri yalnız müştəri bağlantısının autentifikasiya edildiyini yoxladıqdan sonra emal edirdi. Producer və consumer-lərin yaradılması və ya mövzuların axtarışı kimi digər mövzu əmrlərindən fərqli olaraq, bu iki əmr autentifikasiya olunmuş müştərinin hədəf mövzu üçün səlahiyyətli olub-olmadığını yoxlamırdı. Sxemlər üçün olan Pulsar REST API son nöqtələri bundan təsirlənməmişdir. Hədəf mövzu, namespace və ya tenant üzərində heç bir icazəsi olmayan autentifikasiya olunmuş müştəri bu əmrlərdən aşağıdakılar üçün istifadə edə bilərdi: - başqa namespace və ya tenant-dəki mövzu üçün qeydiyyata alınmış sxemi oxumaqla, qeyd sahələrinin adları və tipləri kimi sxem tərifini aşkar etmək. Mesaj yükləri (payloads) aşkar edilmir. - başqa namespace və ya tenant-dəki mövcud mövzuda yeni sxem versiyasını qeydiyyatdan keçirmək. Mövzunun sxem uyğunluğu və sxemin avtomatik yenilənməsi siyasətləri hələ də qüvvədə qalır. Problem mesaj məlumatlarının oxunmasına və ya dəyişdirilməsinə imkan vermir, lakin qeydiyyatdan keçirilmiş sxem versiyası, sxem administrator tərəfindən düzəldilənə qədər həmin mövzunun legitim producer və consumer-lərinin sxem uyğunsuzluğu xətaları ilə işinin dayanmasına səbəb ola bilər. Standart Pulsar müştərisi bu əmrləri göndərməzdən əvvəl səlahiyyətli mövzu axtarışını həyata keçirdiyi üçün standart müştəri ilə sınaq zamanı çatışmayan yoxlama müşahidə edilə bilmirdi. Binar protokolu birbaşa tətbiq edən müştəri üçün əvvəlcə həmin axtarışı yerinə yetirmək tələb olunmur. Bu problem yalnız autentifikasiya və avtorizasiyanın aktiv olduğu quraşdırmalar üçün aktualdır. GetSchema əmri Apache Pulsar 2.2.0 versiyasından, GetOrCreateSchema əmri isə Apache Pulsar 2.5.0 versiyasından etibarən təsirlənib. Düzəlişdən sonra broker GetSchema üçün mövzuda axtarış (lookup), GetOrCreateSchema üçün isə mövzuda istehsal (produce) icazəsini tələb edir. Bu təsir analizi Pulsar-ın standart avtorizasiya provayderi ilə konfiqurasiya edildiyi fərz edilir. Xüsusi avtorizasiya provayderləri üçün təsir bir qədər fərqli ola bilər. Bu problem Apache Pulsar-ın 2.2.0-dan 4.0.14-ə qədər, 4.1.0-dan 4.1.3-ə qədər və 4.2.0-dan 4.2.5-ə qədər olan versiyalarına təsir göstərir. - 4.0.x versiya istifadəçiləri ən azı 4.0.14 versiyasına yüksəltməlidirlər. - 4.1.x və 4.2.x versiya istifadəçiləri ən azı 4.2.5 versiyasına yüksəltməlidirlər. Yuxarıda sadalananlardan əvvəlki versiyaları istifadə edən şəxslər yuxarıda qeyd olunan yamalı versiyalara və ya daha yeni versiyalara yüksəltmə etməlidirlər. Hazırda dəstəklənən Apache Pulsar buraxılış xətləri 4.0.x və 5.0.x-dir. Dəstəklənən versiyaların cədvəli https://pulsar.apache.org/contribute/release-policy/ ünvanında mövcuddur.