CVE-2026-105937

Apache Pulsar shadow mövzuları (PIP-180), mənbə mövzusunun saxlanılan mesajlarını həmin mövzunun idarə olunan ledger-indən oxuyan mövzulardır. Mənbə mövzusu PULSAR.SHADOW_SOURCE rezerv edilmiş mövzu xüsusiyyətinin təyin edilməsi ilə seçilir. Admin REST API, bölümlənməmiş və ya bölümlənmiş mövzu yaradarkən və mövcud mövzunun xüsusiyyətlərini yeniləyərkən bu xüsusiyyəti qəbul edir. Bu yollarda broker çağıranı yalnız yaradılan və ya yenilənən mövzuya görə avtorizasiyadan keçirir. O, çağıranı xüsusiyyətdə göstərilən mənbə mövzusuna görə avtorizasiyadan keçirmir. Shadow mövzu konfiqurasiyası üçün mövcud avtorizasiya (mənbə mövzusundakı SHADOW_TOPIC mövzu siyasəti) yalnız mənbə tərəfli shadow mövzularının admin API-na tətbiq edilir, bu yollara deyil. Nəticədə, bir tenant-da mövzular yaratmağa və ya mövzu xüsusiyyətlərini yeniləməyə icazəsi olan autentifikasiya olunmuş istifadəçi, həmin tenant-dakı mövzunu hər hansı digər tenant-dakı daimi mövzuya bağlaya bilər. Defolt avtorizasiya provayderi ilə bu əməliyyatlar istifadəçinin öz tenant-ı üçün tenant admin rolu tələb edir. İstifadəçinin mənbə mövzusu, onun namespace-i və ya tenant-ı üzərində heç bir icazəsinin olması tələb edilmir. Bu təsir analizi Pulsar-ın defolt avtorizasiya provayderi ilə konfiqurasiya edildiyi fərz edilərək hazırlanmışdır. Xüsusi avtorizasiya provayderləri üçün təsir fərqli ola bilər. İstifadəçi daha sonra yalnız öz mövzusundakı icazələrdən istifadə edərək shadow mövzusundan məlumatları istehlak edə və digər tenant-dakı mənbə mövzusuna göndərilmiş saxlanılan mesajları ala bilər. Risk yalnız mənbə mövzusunun ledger-lərində hələ də saxlanılan və oxunaqlı olan mesajlarla məhdudlaşır; klient tərəfli ucdan-uca şifrələmə ilə qorunan mesajlar şifrələmə açarları olmadan dekripsiya edilə bilməz. Shadow mövzusunda olan bir producer, sxem uyğunluğu parametrləri daxilində, mənbə mövzusunun sxemi altında yeni sxem versiyasını qeydiyyata ala bilər; mövcud sxem versiyaları əvəzlənmir. Əlavə olaraq, shadow mövzusunun idarə olunan ledger-i, mənbə mövzusunun ledger-lərinə öz saxlama (retention), kəsmə (trimming), offloading və silmə qaydalarını tətbiq edir. Bu, mənbə mövzusunun öz abunəliklərindən və saxlama siyasətindən asılı olmayaraq, hələ təsdiqlənməmiş mesajlar da daxil olmaqla, mənbə mövzusunun ledger məlumatlarını BookKeeper-dən və pilləli yaddaşdan (tiered storage) qalıcı olaraq silə bilər. Shadow mövzusunun silinməsi həmçinin mənbə mövzusunun ledger-lərini silə bilər. Bu məlumat itkisi administratorlar tərəfindən qəsdən konfiqurasiya edilmiş shadow mövzularına da təsir edə bilər. Bu problem Apache Pulsar-ın 3.0.0-dan 4.0.14-ə qədər və 4.1.0-dan 4.2.5-ə qədər olan versiyalarına təsir edir. Apache Pulsar 2.x versiyalarında shadow mövzu implementasiyası mövcud deyil. - 4.0.x versiya istifadəçiləri ən azı 4.0.14 versiyasına yüksəltməlidirlər. - 4.1.x və 4.2.x versiya istifadəçiləri ən azı 4.2.5 versiyasına yüksəltməlidirlər. Yuxarıda sadalananlardan əvvəlki versiyaları istifadə edən şəxslər yuxarıda qeyd olunan yamalı versiyalara və ya daha yeni versiyalara yüksəltmə etməlidirlər. Hazırda dəstəklənən Apache Pulsar reliz xətləri 4.0.x və 5.0.x-dir. Dəstəklənən versiyaların cədvəli https://pulsar.apache.org/contribute/release-policy/ ünvanında mövcuddur. Düzəldilmiş versiyalarda shadow mövzuları defolt olaraq söndürülmüşdür və yeni broker konfiqurasiya parametri olan enableShadowTopics (defolt false) vasitəsilə idarə olunur. Söndürüldüyü halda, broker shadow mövzuların yaradılmasını, PULSAR.SHADOW_SOURCE xüsusiyyətinin təyin edilməsini və mövcud shadow mövzulara yükləməni və ya replikasiyanı rədd edir. Shadow mövzulardan istifadə edən sistemlər, yüksəltmədən sonra bütün brokerlərin konfiqurasiyasında enableShadowTopics=true parametrini təyin etməlidirlər; əks halda mövcud shadow mövzuları yüklənməyəcək. Shadow mövzuları aktiv olduqda, shadow mövzusunu fərqli tenant-dakı mənbə mövzusuna bağlamaq superuser rolu tələb edir. Düzəldilmiş versiyalar həmçinin shadow mövzusunun mənbə mövzusunun ledger-lərini və offload edilmiş məlumatlarını silməsinin və ya kəsməsinin qarşısını alır. Təsirə məruz qalan versiyalarda shadow mövzularını söndürmək üçün heç bir konfiqurasiya seçimi yoxdur. Təcili yüksəltmə edə bilməyən istifadəçilər, tenant admin rolunu yalnız etibarlı subyektlərə verməklə riski azalda bilərlər.