CVE-2026-105932

Apache Pulsar broker admin REST API, mövzunun (topic) mövzu səviyyəli giriş filtri siyasətini oxumaq, təyin etmək və silmək üçün son nöqtələr (endpoints) təmin edir. Daimi (persistent) mövzular üçün bu son nöqtələr çağıranın giriş filtrləri mövzu siyasəti əməliyyatı üçün səlahiyyətli olduğunu yoxlayır. Qeyri-daimi (non-persistent) mövzular üçün müvafiq son nöqtələr (/admin/v2/non-persistent/{tenant}/{namespace}/{topic}/entryFilters) bu avtorizasiya yoxlamasını həyata keçirmir. Bu son nöqtələrin yerinə yetirdiyi yeganə avtorizasiya yoxlaması, mövzunun bölmə meta məlumatları əldə edilərkən aparılan dolayı axtarış icazəsi yoxlamasıdır; bu, bütün təsirə məruz qalan versiyalarda mövcuddur. Nəticə etibarilə, autentifikasiya və avtorizasiya aktiv olduqda, qeyri-daimi mövzu və ya onun namespace-i üzərində istehsal (produce) və ya istehlak (consume) icazəsi verilmiş, lakin mövzu siyasətlərini idarə etmək icazəsi olmayan autentifikasiya olunmuş istifadəçi, həmin mövzunun mövzu səviyyəli giriş filtri siyasətini oxuya, dəyişdirə və ya silə bilər. Bu əməliyyatlar yalnız tenant admin rolu və ya superuser rolu olan istifadəçilərlə məhdudlaşdırılmalıdır. Bu təsir analizi Pulsar-ın standart avtorizasiya provayderi ilə konfiqurasiya edildiyi fərziyyəsinə əsaslanır. Xüsusi avtorizasiya provayderləri üçün təsir bir qədər fərqli ola bilər. Praktiki təsir, heç biri standart olaraq təmin edilməyən iki broker konfiqurasiya tələbi ilə məhdudlaşır: - Giriş filtrləri operator tərəfindən quraşdırılmış olmalıdır. Giriş filtri implementasiyaları yalnız brokerin işə düşməsi zamanı brokerin giriş filtrləri katalogundan yüklənir ki, bu kataloq standart olaraq boşdur. Sorğu yalnız operatorun artıq yerləşdirdiyi giriş filtrləri arasından seçim edə bilər; hər hansı digər filtr adının təyin edilməsi rədd edilir. Problem çağırana giriş filtri kodunu quraşdırmağa və ya yükləməyə, yaxud brokerdə ixtiyari kodu işə salmağa imkan vermir. - Mövzu səviyyəli giriş filtri siyasətlərinin broker səviyyəli konfiqurasiyanı əvəz etməsinə icazə verilməlidir (standart olaraq söndürülmüş allowOverrideEntryFilters). Bu parametr söndürüldükdə, mövzu səviyyəli giriş filtri siyasətinin mesajların göndərilməsinə heç bir təsiri olmur. Hər iki şərtin ödənildiyi deployment-lərdə, səlahiyyətsiz istifadəçi qeyri-daimi mövzunun mövzu səviyyəli giriş filtri siyasətini silebilir (məsələn, istehlakçılara hansı mesajların çatdırılacağını məhdudlaşdırmaq üçün istifadə olunan siyasəti) və ya həmin mövzunun abunəliklərindən mesajları saxlayan fərqli bir quraşdırılmış giriş filtri tətbiq edə bilər. Siyasətin silinməsi mövzunun silinməyən namespace səviyyəli və ya broker səviyyəli giriş filtrlərinə qayıtmasına səbəb olur. Dəyişdirilmiş siyasət yalnız dəyişiklikdən sonra yaradılan abunəlik göndəricilərinə (dispatchers) təsir edir (məsələn, yeni abunəliklər üçün və ya bütün istehlakçıları ayrıldıqdan sonra abunəlik yenidən yaradıldıqda); mövcud göndəricilər yaratıldıqları zamanı olan giriş filtrlərini saxlayırlar. Qeyri-daimi mövzular mesajları saxlamadığı üçün, giriş filtri tərəfindən saxlanılan mesajlar çatdırılmır. Siyasətin oxunması yalnız konfiqurasiya edilmiş giriş filtrlərinin adlarını açıqlayır. Problem mesaj məzmunlarının oxunmasına imkan vermir və giriş filtrləri mesaj fayllarını (payloads) dəyişdirə bilmir. Daimi mövzular və namespace səviyyəli giriş filtri siyasətləri buna təsir etmir. 3.3.0-dan əvvəlki Apache Pulsar versiyalarına təsir etmir, çünki həmin versiyalarda giriş filtrləri mövzu siyasəti yoxlaması daimi və qeyri-daimi son nöqtələr tərəfindən paylaşılmış kodda həyata keçirilir. Bu problem Apache Pulsar-ın 3.3.0-dan 4.0.14-ə qədər və 4.1.0-dan 4.2.5-ə qədər olan versiyalarına təsir edir. - 3.3.x və 4.0.x versiya istifadəçiləri ən azı 4.0.14 versiyasına yüksəltməlidirlər. - 4.1.x və 4.2.x versiya istifadəçiləri ən azı 4.2.5 versiyasına yüksəltməlidirlər. Yuxarıda sadalananlardan əvvəlki versiyaları istifadə edən istifadəçilər qeyd olunan yamalı versiyalara və ya daha yeni versiyalara yüksəltmə etməlidirlər. Hazırda dəstəklənən Apache Pulsar buraxılış xətləri 4.0.x və 5.0.x-dir. Dəstəklənən versiyaların cədvəli https://pulsar.apache.org/contribute/release-policy/ ünvanında mövcuddur. Dərhal yüksəltmə edə bilməyən və giriş filtrləri yerləşdirmiş istifadəçilər allowOverrideEntryFilters parametrini standart false dəyərində saxlamalıdırlar ki, mövzu səviyyəli giriş filtri siyasətləri mesajların göndərilməsinə təsir etməsin.