CVE-2026-105945

Pulsar Packages Management Service, fayl sistemi saxlama provayderindən istifadə etməklə paketləri brokerin yerli fayl sistemində saxlamaq üçün konfiqurasiya edilə bilər. Paket adları tip, tenant, namespace, ad və versiyadan ibarətdir. Paket əməliyyatlarının avtorizasiyası yalnız tenant və namespace-ə əsaslanır, lakin paketin saxlanma yeri bütün bu komponentlərdən törədilir. Paketin adındakı versiya komponenti yoxlanılmadığı üçün o, URL-kodlaşdırılmış yol ayırıcılarını və üst kataloq istinadlarını ehtiva edə bilərdi. Fayl sistemi saxlama provayderi belə bir versiyanı fərqli tenant və ya namespace-ə aid olan paketin yerinə yönləndirdi. Həmin yer konfiqurasiya edilmiş saxlama kataloqunun daxilində olduğu üçün, fayl sistemi saxlama provayderinin son buraxılışlarda həyata keçirdiyi məhdudiyyət yoxlaması girişi əngəlləməmişdir. Hər hansı bir namespace üzrə paketlərə giriş icazəsi olan autentifikasiya olunmuş istifadəçi bundan digər tenant və ya namespace-lərdə saxlanılan və icazəsinin olmadığı paketləri yükləmək, üzərinə yazmaq və ya silmək üçün istifadə edə bilərdi. Bu şəkildə üzərinə yazılan və ya silinən paketlər Pulsar Functions, Sources və ya Sinks tərəfindən istifadə oluna bildiyi üçün problem bu komponentlərin bütövlüyünə və əlçatanlığına təsir göstərə bilər. Əgər autentifikasiya söndürülübsə, bu əməliyyatlar brokerin admin REST API-na çata bilən hər hansı müştəri üçün əlçatan olur. Bu problem yalnız paket idarəetməsi brokerin enablePackagesManagement parametri ilə aktivləşdirilmiş və fayl sistemi saxlama provayderi (FileSystemPackagesStorageProvider) packagesManagementStorageProvider parametri ilə konfiqurasiya edilmiş quraşdırmalara təsir edir. Paket idarəetməsi standart olaraq söndürülmüşdür və paketləri Apache BookKeeper-də saxlayan standart saxlama provayderi bu problemdən təsirlənmir. Bu problem Apache Pulsar-ın 2.10.0-dan 4.0.14-ə qədər və 4.1.0-dan 4.2.5-ə qədər olan versiyalarına təsir edir. - 4.0.x versiyasından istifadə edənlər ən azı 4.0.14 versiyasına yüksəltmə etməlidirlər. - 4.1.x və 4.2.x versiyalarından istifadə edənlər ən azı 4.2.5 versiyasına yüksəltmə etməlidirlər. Yuxarıda sadalananlardan əvvəlki versiyaları istifadə edən şəxslər yuxarıda qeyd olunan yamalı versiyalara və ya daha yeni versiyalara yüksəltmə etməlidirlər. Hazırda dəstəklənən Apache Pulsar buraxılış xətləri 4.0.x və 5.0.x-dir. Dəstəklənən versiyaların cədvəli https://pulsar.apache.org/contribute/release-policy/ ünvanında mövcuddur.