CVE-2024-27317
Açıklama
Pulsar Functions Worker'da, kimliği doğrulanmış kullanıcılar jar veya nar dosyaları şeklinde fonksiyonlar yükleyebilirler. Esas olarak zip dosyaları olan bu dosyalar, Functions Worker tarafından ayıklanır. Ancak, kötü amaçlı bir dosya yüklendiğinde, bir dizin atlama (directory traversal) zafiyeti istismar edilebilir. Bu durum, zip dosyalarındaki dosya adlarının uygun şekilde doğrulanmaması ve ".." gibi özel öğeler içererek dizin yolunu değiştirmesiyle meydana gelir. Bu, bir saldırganın belirlenen çıkarma dizininin dışında dosyalar oluşturmasına veya bunları değiştirmesine izin vererek potansiyel olarak sistem davranışını etkileyebilir. Bu zafiyet, "functionsWorkerEnabled=true" şeklinde yapılandırıldığında Pulsar Broker için de geçerlidir. Bu sorun; Apache Pulsar'ın 2.4.0 ile 2.10.5, 2.11.0 ile 2.11.3, 3.0.0 ile 3.0.2, 3.1.0 ile 3.1.2 arasındaki versiyonlarını ve 3.2.0 versiyonunu etkilemektedir. 2.10 Pulsar Function Worker kullanıcıları en az 2.10.6 sürümüne yükseltmelidir. 2.11 Pulsar Function Worker kullanıcıları en az 2.11.4 sürümüne yükseltmelidir. 3.0 Pulsar Function Worker kullanıcıları en az 3.0.3 sürümüne yükseltmelidir. 3.1 Pulsar Function Worker kullanıcıları en az 3.1.3 sürümüne yükseltmelidir. 3.2 Pulsar Function Worker kullanıcıları en az 3.2.1 sürümüne yükseltmelidir. Yukarıda listelenenlerden önceki versiyonları kullanan kullanıcılar, belirtilen yamalı versiyonlara veya daha yeni versiyonlara yükseltme yapmalıdır.
Nasıl düzeltilir
- apache pulsar2.10.6, 2.11.4, 3.0.3, 3.1.3 ya da sonraki bir sürüm
- org.apache.pulsar:pulsar-functions-worker2.10.6, 2.11.4, 3.0.3, 3.1.3, 3.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache pulsar | 2.4.0 ≤ v < 2.10.6, 2.11.0 ≤ v < 2.11.4, 3.0.0 ≤ v < 3.0.3, 3.1.0 ≤ v < 3.1.3, 3.2.0 | 2.10.6, 2.11.4, 3.0.3, 3.1.3 |
| org.apache.pulsar:pulsar-functions-workerMaven | 2.4.0 ≤ v < 2.10.6, 2.11.0 ≤ v < 2.11.4, 3.0.0 ≤ v < 3.0.3, 3.1.0 ≤ v < 3.1.3, 3.2.0 ≤ v < 3.2.1 | 2.10.6, 2.11.4, 3.0.3, 3.1.3, 3.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.