CVE-2023-51437
Açıklama
Apache Pulsar SASL Authentication Provider'daki gözlemlenebilir zamanlama tutarsızlığı zafiyeti, bir saldırganın imza doğrulamasını geçecek sahte bir SASL Role Token oluşturmasına izin verebilir. Kullanıcıların sorunu gideren 2.11.3, 3.0.2 veya 3.1.1 sürümlerine yükseltme yapmaları önerilir. Kullanıcılar ayrıca `saslJaasServerRoleTokenSignerSecretPath` dosyasında yapılandırılan gizli anahtarı güncellemeyi değerlendirmelidir. SASL Authentication Provider çalıştıran ve yukarıdaki sürümlerle eşleşen tüm bileşenler etkilenmektedir. Buna Pulsar Broker, Proxy, Websocket Proxy veya Function Worker dahildir. 2.11 Pulsar kullanıcıları en az 2.11.3 sürümüne yükseltmelidir. 3.0 Pulsar kullanıcıları en az 3.0.2 sürümüne yükseltmelidir. 3.1 Pulsar kullanıcıları en az 3.1.1 sürümüne yükseltmelidir. Pulsar 2.8, 2.9, 2.10 ve daha eski sürümleri kullanan tüm kullanıcılar, yukarıdaki yamalanmış sürümlerden birine yükseltme yapmalıdır. Bu saldırı vektörü hakkında ek ayrıntılar için lütfen https://codahale.com/a-lesson-in-timing-attacks/ adresine bakın.
Nasıl düzeltilir
- apache pulsar2.11.3, 3.0.2 ya da sonraki bir sürüm
- org.apache.pulsar:pulsar-broker-auth-sasl2.11.3, 3.0.2, 3.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache pulsar | v ≤ 2.10.5, 2.11.0 ≤ v < 2.11.3, 3.0.0 ≤ v < 3.0.2, 3.1.0 | 2.11.3, 3.0.2 |
| org.apache.pulsar:pulsar-broker-auth-saslMaven | v < 2.11.3, 3.0.0 ≤ v < 3.0.2, 3.1.0 ≤ v < 3.1.1 | 2.11.3, 3.0.2, 3.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.