CVE-2022-33681
Açıklama
Pulsar Java Client ve Pulsar Proxy'deki gecikmeli TLS ana bilgisayar adı doğrulaması, her bir istemciyi ortadaki adam (man-in-the-middle) saldırısına karşı savunmasız hale getirmektedir. Pulsar Java Client'tan Pulsar Broker/Proxy'ye olan bağlantılar ile Pulsar Proxy'den Pulsar Broker'a olan bağlantılar risk altındadır. Kimlik doğrulama verileri, sunucunun TLS sertifikasının ana bilgisayar adıyla eşleştiği doğrulanmadan önce gönderilir; bu da kimlik doğrulama verilerinin bir saldırgana ifşa olabileceği anlamına gelir. Bir saldırgan, bu zafiyetten yalnızca istemci ile sunucu arasındaki bir makineyi kontrol ederek yararlanabilir. Ardından saldırganın, istemciye ilgisiz bir ana bilgisayar için kriptografik olarak geçerli bir sertifika sağlayarak trafiği aktif olarak manipüle etmesi gerekir. İstemci, ana bilgisayar adı doğrulamasını gerçekleştirmeden önce kimlik doğrulama verilerini gönderdiği için, bir saldırgan istemcinin kimlik doğrulama verilerine erişebilir. İstemci, ana bilgisayar adını doğruladığında ve hedeflenen ana bilgisayar adının sertifikadaki ana bilgisayar adıyla eşleşmediğini tespit ettiğinde bağlantıyı sonunda kapatır. İstemci bağlantıyı sonunda kapattığı için, ele geçirilen kimlik doğrulama verilerinin değeri istemci tarafından kullanılan kimlik doğrulama yöntemine bağlıdır. Token tabanlı kimlik doğrulama ve kullanıcı adı/parola kimlik doğrulama yöntemleri, kimlik doğrulama verilerinin ayrı bir oturumda istemciyi taklit etmek için kullanılabilecek olması nedeniyle savunmasızdır. Bu sorun Apache Pulsar Java Client versiyonları 2.7.0 ile 2.7.4; 2.8.0 ile 2.8.3; 2.9.0 ile 2.9.2; 2.10.0; 2.6.4 ve öncesini etkilemektedir.
Nasıl düzeltilir
- apache pulsar2.7.5, 2.8.4, 2.9.3 ya da sonraki bir sürüm
- org.apache.pulsar:pulsar-client2.7.5, 2.8.4, 2.9.3, 2.10.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache pulsar | v < 2.7.5, 2.8.0 ≤ v < 2.8.4, 2.9.0 ≤ v < 2.9.3, 2.10.0 | 2.7.5, 2.8.4, 2.9.3 |
| org.apache.pulsar:pulsar-clientMaven | v < 2.7.5, 2.8.0 ≤ v < 2.8.4, 2.9.0 ≤ v < 2.9.3, 2.10.0 ≤ v < 2.10.1 | 2.7.5, 2.8.4, 2.9.3, 2.10.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.