CVE-2024-27894
Açıklama
Pulsar Functions Worker, kimliği doğrulanmış kullanıcıların fonksiyon uygulamasının bir URL ile referans verildiği fonksiyonlar oluşturmasına izin veren bir yetenek içerir. Desteklenen URL şemaları arasında "file", "http" ve "https" bulunur. Bir fonksiyon bu yöntemle oluşturulduğunda, Functions Worker uygulama içeriğini kullanıcının sağladığı URL'den alır. Ancak bu özellik, bir saldırganın Pulsar Functions Worker sürecinin okuma izinlerine sahip olduğu herhangi bir dosyaya yetkisiz erişim sağlamak için istismar edebileceği bir güvenlik açığına yol açmaktadır. Bu durum, gizli bilgiler gibi hassas verileri potansiyel olarak içeren süreç ortam değişkenlerinin okunmasını da kapsar. Ayrıca bir saldırgan, uzak HTTP ve HTTPS uç nokta URL'lerinin içeriğine erişmek için Pulsar Functions Worker'ı bir proxy olarak kullanmak üzere bu zafiyetten yararlanabilir. Bu durum aynı zamanda hizmet reddi saldırıları gerçekleştirmek için de kullanılabilir. Bu güvenlik açığı, "functionsWorkerEnabled=true" şeklinde yapılandırıldığında Pulsar Broker için de geçerlidir. Bu sorun; Apache Pulsar'ın 2.4.0 ile 2.10.5, 2.11.0 ile 2.11.3, 3.0.0 ile 3.0.2, 3.1.0 ile 3.1.2 arasındaki versiyonlarını ve 3.2.0 versiyonunu etkilemektedir. 2.10 Pulsar Function Worker kullanıcıları en az 2.10.6 sürümüne yükseltmelidir. 2.11 Pulsar Function Worker kullanıcıları en az 2.11.4 sürümüne yükseltmelidir. 3.0 Pulsar Function Worker kullanıcıları en az 3.0.3 sürümüne yükseltmelidir. 3.1 Pulsar Function Worker kullanıcıları en az 3.1.3 sürümüne yükseltmelidir. 3.2 Pulsar Function Worker kullanıcıları en az 3.2.1 sürümüne yükseltmelidir. Yukarıda listelenen sürümlerden önceki sürümleri kullanan kullanıcılar, belirtilen yamalı sürümlere veya daha yeni sürümlere yükseltme yapmalıdır. Pulsar Functions Worker'ın güncellenmiş sürümleri, varsayılan olarak URL kullanarak fonksiyon oluşturulmasına kısıtlamalar getirecektir. Bu işlevselliğe güvenen kullanıcılar için Function Worker yapılandırması iki yapılandırma anahtarı sunar: "additionalEnabledConnectorUrlPatterns" ve "additionalEnabledFunctionsUrlPatterns". Bu anahtarlar, kullanıcıların izin verilen bir dizi URL deseni belirlemesine olanak tanıyarak tanımlanan desenlerle eşleşen URL'ler kullanılarak fonksiyon oluşturulmasını sağlar. Bu yaklaşım, özelliğin ihtiyaç duyanlar için mevcut kalmasını sağlarken, yetkisiz erişim ve istismar potansiyelini sınırlar.
Nasıl düzeltilir
- apache pulsar2.10.6, 2.11.4, 3.0.3, 3.1.3 ya da sonraki bir sürüm
- org.apache.pulsar:pulsar-functions-worker2.10.6, 2.11.4, 3.0.3, 3.1.3, 3.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache pulsar | 2.4.0 ≤ v < 2.10.6, 2.11.0 ≤ v < 2.11.4, 3.0.0 ≤ v < 3.0.3, 3.1.0 ≤ v < 3.1.3, 3.2.0 | 2.10.6, 2.11.4, 3.0.3, 3.1.3 |
| org.apache.pulsar:pulsar-functions-workerMaven | 2.4.0 ≤ v < 2.10.6, 2.11.0 ≤ v < 2.11.4, 3.0.0 ≤ v < 3.0.3, 3.1.0 ≤ v < 3.1.3, 3.2.0 ≤ v < 3.2.1 | 2.10.6, 2.11.4, 3.0.3, 3.1.3, 3.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.