CVE-2026-105934

Apache Pulsar broker admin REST API, davamlı mövzular üçün kəsim (truncate) əməliyyatı təmin edir (DELETE /admin/v2/persistent/{tenant}/{namespace}/{topic}/truncate). Mövzunun kəsilməsi həmin mövzunun bütün abunəlik kursorlarını mövzunun sonuna daşıyır və mövzunun qeyri-aktiv ledger-lərini silir. Bölünməmiş mövzunun və ya bölmə adı ilə müraciət edilən tək bir bölmənin kəsilməsi düzgün şəkildə tenant admin rolu və ya superuser rolunu tələb edir. Əməliyyat bölünmüş mövzu adı üçün sorğu edildikdə, broker bu tenant admin yoxlamasını çağırana tətbiq etmir. Bunun əvəzinə, o, hər bir bölməni brokerin öz daxili admin kliyenti vasitəsilə kəsir ki, bu da çağıranın kimliyindən yox, brokerin konfiqurasiya edilmiş kliyent etibarnamələri ilə autentifikasiya olunur. Hər bir bölmə üzrə kəsim sorğusu hələ də tenant admin rolu və ya superuser rolu üçün yoxlanılır, lakin bu, çağırana görə deyil, brokerin daxili kimliyinə görə aparılır. Buna görə də, bölmələr yalnız brokerin konfiqurasiya edilmiş kliyent rolu superuser və ya hədəf tenant-ın admini olduqda kəsilir ki, bu da avtorizasiya aktiv olduqda adətən istifadə olunan konfiqurasiyadır. Nəticə etibarilə, bu şərt ödənildikdə, tenant admin olmayan autentifikasiya olunmuş istifadəçi, baxış (lookup) icazəsinə malik olduğu hər hansı bölünmüş mövzunu kəsə bilər. Yalnız çağiranın autentifikasiyası və baxış icazəsi kifayət deyil: əgər brokerin daxili kimliyi hədəf tenant üçün tenant admin və ya superuser avtorizasiyasından məhrumdursa, bölmə üzrə sorğular rədd edilir. Defolt avtorizasiya provayderi ilə baxış icazəsi mövzu və ya onun namespace-i üzərində istehsal (produce) və ya istehlak (consume) icazəsi ilə verilir. Mövzu üzərində heç bir icazəsi olmayan istifadəçi bu problemi tetikleyə bilməz. Bu təsir analizi Pulsar-ın defolt avtorizasiya provayderi ilə konfiqurasiya edildiyi fərz edilir. Xüsusi avtorizasiya provayderləri üçün təsir fərqli ola bilər. Bölünmüş mövzunun bu şəkildə kəsilməsi hər bir bölmədəki bütün abunəliklərin kursorlarını mövzunun sonuna daşıyır, buna görə də təsdiqlənməmiş hər hansı backlog ötürülür və artıq istehlakçılara çatdırılmır. O, həmçinin namespace-in konfiqurasiya edilmiş saxlanma siyasətindən asılı olmayaraq hər bir bölmənin uyğun köhnə ledger-lərini silir, beləliklə həmin ledger-lərdə saxlanılan mesajlar qalıcı olaraq itirilə bilər. Hazırda yazılan ledger kəsim əməliyyatı ilə silinmir. Problem mesaj məzmunlarının oxunmasına, icazələrin və ya konfiqurasiyanın dəyişdirilməsinə imkan vermir və istifadəçinin baxış icazəsinin olmadığı mövzulara giriş təmin etmir. Bu problem Apache Pulsar-ın 2.8.0-dan 4.0.14-ə qədər və 4.1.0-dan 4.2.5-ə qədər olan versiyalarına təsir edir. - 4.0.x versiya istifadəçiləri ən azı 4.0.14 versiyasına yüksəltməlidir. - 4.1.x və 4.2.x versiya istifadəçiləri ən azı 4.2.5 versiyasına yüksəltməlidir. Yuxarıda sadalananlardan əvvəlki versiyaları istifadə edən istifadəçilər yuxarıda qeyd olunan yamalı versiyalara və ya daha yeni versiyalara yüksəltmə etməlidirlər. Hazırda dəstəklənən Apache Pulsar buraxılış xətləri 4.0.x və 5.0.x-dir. Dəstəklənən versiyaların cədvəli https://pulsar.apache.org/contribute/release-policy/ ünvanında mövcuddur. Dərhal yüksəltmə edə bilməyən istifadəçilər, brokerin admin REST API-na (/admin/v2) şəbəkə girişini etibarlı inzibati kliyentlərlə məhdudlaşdıraraq riski azalda bilərlər.