CVE-2026-105935

Pulsar Functions Worker, funksiyanı tetikləmək üçün bir REST API son nöqtəsi təmin edir və bu, çağırıcı tərəfindən təqdim edilən dəyəri funksiyanın konfiqurasiya edilmiş giriş mövzularından (input topics) birinə göndərir. Functions Worker bu göndərmə əməliyyatını öz broker kliyenti ilə həyata keçirir və burada API çağırıcısının etibarnamələri yox, Worker-in konfiqurasiya edilmiş broker-klient etibarnamələri ilə autentifikasiya aparılır. Avtorizasiya aktiv olduqda, Apache Pulsar 2.4.0 və daha yeni versiyalarda tetikləmə son nöqtəsi yalnız çağırıcının funksiyanın ad sahəsində (namespace) funksiya əməliyyatlarını yerinə yetirmək üçün səlahiyyətli olub-olmadığını yoxlayır. Çağırıcının mesajın göndərildiyi giriş mövzusuna məlumat yazmaq (produce) səlahiyyətinin olub-olmadığı yoxlanılmır. 2.4.0-dan əvvəlki versiyalarda tetikləmə son nöqtəsi üçün heç bir çağırıcı avtorizasiya yoxlaması aparılmır. Funksiya giriş mövzuları funksiyanın öz tenant və ya ad sahəsi ilə məhdudlaşdırılmayıb və funksiyanın qeydiyyatı onun giriş mövzularında produce icazəsi tələb etmir. Nəticədə, ad sahəsində funksiyaları idarə etmək səlahiyyəti olan autentifikasiya olunmuş istifadəçi (məsələn, həmin ad sahəsində funksiyalar icazəsi verilmiş rol), Functions Worker-in çağırıcı tərəfindən idarə olunan məzmunlu mesajları istifadəçinin yazıla bilməyə səlahiyyətli olmadığı mövzulara, o cümlədən digər tenantlardakı mövzulara göndərməsinə səbəb ola bilər. Bu mesajlar Functions Worker-in kimliyi altında göndərilir. Problemin yaranması üçün hər hansı funksiya nümunəsinin işləməsi və ya funksiya kodunun icra edilməsi tələb olunmur. Yalnız Functions Worker-in broker-klient kimliyinin hədəf mövzuya məlumat yazmağa və Apache Pulsar 2.3.0 və daha yeni versiyalarda hədəf mövzunun abunəliklərini siyahılamağa səlahiyyətli olması kifayətdir ki, bu da həmin kimliyin superistifadəçi olduğu hallarda baş verir. Təsir təsirə məruz qalan mövzulardakı məlumatların bütövlüyünə yönəlib: həmin mövzuların istehlakçıları (consumers), onları paylaşmağa icazəsi olmayan istifadəçidən mesajlar ala bilər. Bu, kənar, autentifikasiya olunmuş klient tərəfindən çağırılan Functions Worker REST API-na aid edilir; tam etibar edilməli olan funksiya kodu üçün təhlükəsizlik modelini dəyişmir. Düzəldilmiş versiyalarda, avtorizasiya aktiv olduqda, funksiyanı tetikləmək üçün hər hansı mesaj göndərilməzdən əvvəl çağırıcının seçilmiş giriş mövzusuna məlumat yazmaq (produce) səlahiyyətinin olması əlavə olaraq tələb edilir. Bu problem Apache Pulsar-ın 2.0.0-rc1-incubating versiyasından 4.0.14-dək və 4.1.0 versiyasından 4.2.5-ə qədər olan versiyalarına təsir edir. - 4.0.x versiya istifadəçiləri ən azı 4.0.14 versiyasına yüksəltməlidir. - 4.1.x və 4.2.x versiya istifadəçiləri ən azı 4.2.5 versiyasına yüksəltməlidir. Yuxarıda sadalananlardan əvvəlki versiyaları istifadə edən şəxslər yuxarıda qeyd olunan yamalı versiyalara və ya daha yeni versiyalara yüksəltmə etməlidirlər. Hazırda dəstəklənən Apache Pulsar buraxılış xətləri 4.0.x və 5.0.x-dir. Dəstəklənən versiyaların cədvəli https://pulsar.apache.org/contribute/release-policy/ ünvanında mövcuddur. Avtorizasiyanı aktiv etmiş və dərhal yüksəltmə edə bilməyən Apache Pulsar 2.4.0 və daha yeni versiya istifadəçiləri funksiyaları idarə etmə icazəsini etibarlı rollarla məhdudlaşdıra bilərlər. 2.4.0-dan əvvəlki versiyaların istifadəçiləri Functions Worker REST API-na girişi etibarlı çağırıcılarla məhdudlaşdırmalıdırlar, çünki bu versiyalarda tetikləmə son nöqtəsi çağırıcının funksiyaları idarə etmək icazəsini yoxlamır.