CVE-2021-41571
Açıklama
Apache Pulsar'da, kimliği doğrulanmış kullanıcının erişebildiği konulara ait olmayan BookKeeper verilerine erişmek mümkündür. Admin API get-message-by-id, kullanıcının bir konu ve bir ledger id girmesini gerektirir. Ledger id verilere yönelik bir işaretçidir ve söz konusu konu için geçerli olması beklenir. Yetkilendirme kontrolleri konu adı üzerinden gerçekleştirilir ancak ledger id'nin bu konunun bağlamında geçerli olduğuna dair uygun bir doğrulama yapılmamaktadır. Bu nedenle, kullanıcının başka bir kiracıya ait verileri içeren bir ledger'dan okuma yapabilmesi durumu oluşabilir. Bu sorun Apache Pulsar sürüm 2.8.0 ve önceki sürümleri; Apache Pulsar sürüm 2.7.3 ve önceki sürümleri; Apache Pulsar sürüm 2.6.4 ve önceki sürümleri etkilemektedir.
Nasıl düzeltilir
- apache pulsar2.6.4, 2.7.3 ya da sonraki bir sürüm
- org.apache.pulsar:pulsar2.7.4, 2.8.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache pulsar | 2.6.0 ≤ v < 2.6.4, 2.7.0 ≤ v < 2.7.3, 2.8.0 | 2.6.4, 2.7.3 |
| org.apache.pulsar:pulsarMaven | v ≤ 2.6.4, 2.7.0 ≤ v < 2.7.4, 2.8.0 ≤ v < 2.8.1 | 2.7.4, 2.8.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.