CVE-2026-105942

Konfiqurasiya edilmiş proksi rolu başqa bir istifadəçi (əsl prinsipial şəxs) adından brokerə sorğu göndərdikdə, broker həm proksi rolunu, həm də əsl prinsipial şəxsi avtorizasiya etmək və sorğunu yalnız hər ikisi avtorizasiya edildiyi təqdirdə icazə vermək üçün nəzərdə tutulub ki, beləliklə əsl prinsipial şəxs öz icazələrini aşmasın. İki çatışmazlıq bu yoxlamanı zəiflədib. Birincisi, əsl prinsipial şəxs özünün əvəzinə proksinin autentifikasiya məlumatları ilə avtorizasiya edilirdi. Brokerin admin REST API-da və funksiyalar işçisində (functions worker) bu, hər bir proksi vasitəsilə ötürülmüş sorğuya şamil olunurdu. Pulsar binary protokolunda isə bu, proksi müştərinin etibarnamələrini brokerə yönləndirmədikdə baş verirdi ki, bu da təsirlənmiş versiyalarda Pulsar proksisinin standart tənzimləməsi idi. Yalnız rol adına görə icazələri müəyyən edən avtorizasiya provayderləri, məsələn, standart avtorizasiya provayderi, bu çatışmazlıqdan təsirlənmir. Apache Pulsar 2.8.1 versiyasında əlavə edilmiş çoxrollu token avtorizasiya provayderi (MultiRolesTokenAuthorizationProvider), rolları ona verilən autentifikasiya məlumatlarındakı tokenin rol iddiasından (role claim) müəyyən edir. Proksi öz tokeni ilə brokerdə autentifikasiyadan keçdikdə, əsl prinsipial şəxs buna görə proksinin tokenindəki bütün rollarla avtorizasiya edilirdi. Əgər həmin rollardan hər hansı biri superistifadəçi və ya tenant admin roludursa, sorğuları həmin proksi tərəfindən yönləndirilən istənilən istifadəçi, həmin icazələrə sahib olmadan həmin icazələri tələb edən əməliyyatları yerinə yetirə bilərdi. Autentifikasiya məlumatlarından istifadə edən xüsusi avtorizasiya provayderləri oxşar şəkildə təsirlənə bilərdi. İkincisi, avtorizasiya provayderindən asılı olmayaraq, proksi vasitəsilə ötürülmüş admin REST API sorğusunun tenant admin yoxlaması, proksi rolunun özü tenant-in admin rolu olduğu halda, əsl prinsipial şəxsi yoxlamadan uğurlu tamamlanırdı. Proksi rolunun tenant admin olduğu deployment-lərdə, o cümlədən standart avtorizasiya provayderi ilə, sorğuları həmin proksi tərəfindən yönləndirilən istənilən istifadəçi həmin tenant üzərində tenant administrasiyası əməliyyatlarını yerinə yetirə bilərdi. Bu davranış 2.8.x buraxılışlarında 2.8.4-dən, 2.9.x buraxılışlarında 2.9.3-dən və 2.10.1-dən başlayaraq mövcuddur. Nə çoxrollu token avtorizasiya provayderindən, nə də autentifikasiya məlumatlarından istifadə edən xüsusi provayderdən istifadə etməyən deployment-lər birinci çatışmazlıqdan təsirlənmir; çoxrollu token avtorizasiya provayderi olan hallarda isə proksiləri brokerdə token ilə autentifikasiya olunmayan deployment-lər təsirlənmir. Heç bir proksi rolunun tenant-in admin rolu kimi qeyd edilmədiyi deployment-lər ikinci çatışmazlıqdan təsirlənmir. Superistifadəçi olan lakin tenant admin kimi qeyd edilməyən proksi rolu bunu tetikləmir, çünki daxili avtorizasiya provayderlərinin tenant admin yoxlaması yalnız tenant-in admin rollarını nəzərə alır; süperistifadəçiləri tenant adminləri kimi qəbul edən xüsusi avtorizasiya provayderləri üçün bu fərqli ola bilər. Düzəldilmiş versiyalarda, hər bir proksi vasitəsilə ötürülmüş sorğu üçün həm proksi rolu, həm də əsl prinsipial şəxs avtorizasiya edilir və əsl prinsipial şəxs yalnız öz autentifikasiya məlumatları ilə avtorizasiya olunur. Çoxrollu token avtorizasiya provayderi ilə yönləndirilmiş tokenin rolları əsl prinsipial şəxs üçün yalnız həmin token əsl prinsipial şəxs kimi autentifikasiya olunduqda istifadə edilir; əks halda yalnız əsl prinsipial şəxsin rol adı istifadə olunur. Tenant admin yoxlamaları üçün proksi rolu və əsl prinsipial şəxslərin hər biri superistifadəçi və ya tenant-in tenant admini olmalıdır. Bu problem Apache Pulsar-ın 2.8.1-dən 4.0.14-ə qədər və 4.1.0-dan 4.2.5-ə qədər olan versiyalarına təsir edir. - 4.0.x versiya istifadəçiləri ən azı 4.0.14 versiyasına yüksəltməlidirlər. - 4.1.x və 4.2.x versiya istifadəçiləri ən azı 4.2.5 versiyasına yüksəltməlidirlər. Yuxarıda sadalananlardan əvvəlki versiyaları istifadə edən istifadəçilər yuxarıda qeyd olunan yamalı versiyalara və ya daha yeni versiyalara yüksəltmə etməlidirlər. Hazırda dəstəklənən Apache Pulsar buraxılış xətləri 4.0.x və 5.0.x-dir. Dəstəklənən versiyaların cədvəli https://pulsar.apache.org/contribute/release-policy/ ünvanında mövcuddur.