CVE-2022-33684
Açıklama
Apache Pulsar C++ Client, tlsAllowInsecureConnection yapılandırma üzerinden devre dışı bırakılmış olsa bile, OAuth2.0 Client Credential Flow için HTTPS çağrıları yaparken eş TLS sertifikalarını doğrulamamaktadır. Bu güvenlik açığı, bir saldırganın ortadaki adam (man in the middle) saldırısı gerçekleştirmesine ve ClientCredentialFlow 'issuer url' adresine gönderilen GET isteğini yakalamasına ve/veya değiştirmesine olanak tanır. Yakalanan kimlik bilgileri, OAuth2.0 sunucusundan kimlik doğrulama verileri elde etmek ve ardından bir Apache Pulsar kümesinde kimlik doğrulaması yapmak için kullanılabilir. Bir saldırgan, bu güvenlik açığından yalnızca istemci ile sunucu arasındaki bir makinenin kontrolünü ele geçirerek yararlanabilir. Saldırganın ayrıca saldırıyı gerçekleştirmek için trafiği aktif olarak manipüle etmesi gerekir. Apache Pulsar Python Client, C++ istemcisini sarmaladığı için aynı şekilde savunmasızdır. Bu sorun Apache Pulsar C++ Client ve Python Client versiyonları 2.7.0 ile 2.7.4; 2.8.0 ile 2.8.3; 2.9.0 ile 2.9.2; 2.10.0 ile 2.10.1; 2.6.4 ve öncesini etkilemektedir. Etkilenen C++ Client veya Python Client versiyonlarını kullanan tüm kullanıcılar, client_id ve client_secret dahil olmak üzere savunmasız OAuth2.0 kimlik bilgilerini yenilemelidir. 2.7 C++ ve Python Client kullanıcıları 2.7.5 sürümüne yükseltmeli ve savunmasız OAuth2.0 kimlik bilgilerini yenilemelidir. 2.8 C++ ve Python Client kullanıcıları 2.8.4 sürümüne yükseltmeli ve savunmasız OAuth2.0 kimlik bilgilerini yenilemelidir. 2.9 C++ ve Python Client kullanıcıları 2.9.3 sürümüne yükseltmeli ve savunmasız OAuth2.0 kimlik bilgilerini yenilemelidir. 2.10 C++ ve Python Client kullanıcıları 2.10.2 sürümüne yükseltmeli ve savunmasız OAuth2.0 kimlik bilgilerini yenilemelidir. 3.0 C++ kullanıcıları etkilenmemiştir ve 3.0 Python Client kullanıcıları yayınlandığında etkilenmeyecektir. 2.6 veya daha düşük sürümlerde C++ ve Python Client çalıştıran tüm kullanıcılar yukarıdaki yamalı versiyonlardan birine yükseltme yapmalıdır.
Nasıl düzeltilir
- apache pulsar2.7.5, 2.8.4, 2.9.3, 2.10.2 ya da sonraki bir sürüm
- pulsar-client2.7.5, 2.8.4, 2.9.3, 2.10.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache pulsar | v ≤ 2.6.4, 2.7.0 ≤ v < 2.7.5, 2.8.0 ≤ v < 2.8.4, 2.9.0 ≤ v < 2.9.3, 2.10.0 ≤ v < 2.10.2 | 2.7.5, 2.8.4, 2.9.3, 2.10.2 |
| pulsar-clientPyPI | v < 2.7.5, 2.8.0 ≤ v < 2.8.4, 2.9.0 ≤ v < 2.9.3, 2.10.0 ≤ v < 2.10.2 | 2.7.5, 2.8.4, 2.9.3, 2.10.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.