CVE-2024-29834

Bu güvenlik açığı, produce veya consume izinlerine sahip kimliği doğrulanmış kullanıcıların; topic'lerin boşaltılması ve sıkıştırmanın tetiklenmesi gibi bölümlenmiş topic'ler üzerinde yetkisiz işlemler gerçekleştirmesine olanak tanır. Bu yönetim işlemleri, yalnızca tenant admin rolüne veya superuser rolüne sahip kullanıcılarla sınırlandırılmalıdır. Produce iznine sahip kimliği doğrulanmış bir kullanıcı, normalde sadece consume izinlerine sahip kullanıcılara sınırlı olması gereken bölümlenmiş topic'lerde abonelikler oluşturabilir ve abonelik özelliklerini güncelleyebilir. Bu etki analizi, Pulsar'ın varsayılan yetkilendirme sağlayıcısı ile yapılandırıldığını varsaymaktadır. Özel yetkilendirme sağlayıcıları için etki biraz farklı olabilir. Ek olarak bu açık, kimliği doğrulanmış bir kullanıcının herhangi bir tenant içindeki herhangi bir namespace'deki namespace özelliklerini okumasına, oluşturmasına, değiştirmesine ve silmesine izin verir. Pulsar'da namespace özellikleri, namespace hakkında kullanıcı tarafından sağlanan meta veriler için ayrılmıştır. Bu sorun Apache Pulsar'ın 2.7.1 ile 2.10.6, 2.11.0 ile 2.11.4, 3.0.0 ile 3.0.3, 3.1.0 ile 3.1.3 ve 3.2.0 ile 3.2.1 arasındaki versiyonlarını etkilemektedir. 3.0 Apache Pulsar kullanıcıları en az 3.0.4 sürümüne yükseltmelidir. 3.1 ve 3.2 Apache Pulsar kullanıcıları en az 3.2.2 sürümüne yükseltmelidir. Yukarıda listelenen sürümlerden önceki sürümleri kullanan kullanıcılar, belirtilen yamalı sürümlere veya daha yeni sürümlere yükseltme yapmalıdır.