CVE-2026-105926

Pulsar broker, ikili protokolü üzerinde iki şema komutu sunar: bir konu için kayıtlı olan şemayı döndüren GetSchema ve mevcut bir konu için yeni bir şema sürümü kaydeden GetOrCreateSchema. Broker, her iki komutu da yalnızca istemci bağlantısının kimliğinin doğrulanmış olduğunu kontrol ettikten sonra işliyordu. Üreticiler ve tüketiciler oluşturmak veya konuları aramak gibi broker'ın diğer konu komutlarının aksine, bu iki komut, kimliği doğrulanmış istemcinin hedef konu için yetkilendirilip olmadığını kontrol etmiyordu. Şemalar için kullanılan Pulsar REST API uç noktaları etkilenmemiştir. Hedef konu, ad alanı (namespace) veya kiracı (tenant) üzerinde herhangi bir izni olmayan kimliği doğrulanmış bir istemci, bu komutları şu amaçlarla kullanabilirdi: - Başka bir ad alanı veya kiracıdaki bir konu için kayıtlı olan şemayı okuyarak; kayıt alan adları ve türleri gibi şema tanımını ifşa etmek. Mesaj yükleri (payloads) ifşa edilmez. - Başka bir ad alanı veya kiracıdaki mevcut bir konuda yeni bir şema sürümü kaydetmek. Konunun şema uyumluluğu ve şema otomatik güncelleme politikaları hala geçerlidir. Bu sorun mesaj verilerinin okunmasına veya değiştirilmesine izin vermez ancak kayıt edilen bir şema sürümü, şema bir yönetici tarafından düzeltilene kadar o konunun meşru üreticilerinin ve tüketicilerinin şema uyumsuzluğu hatalarıyla başarısız olmasına neden olabilir. Standart Pulsar istemcisi, bu komutları göndermeden önce yetkili bir konu araması gerçekleştirdiğinden, eksik kontrol standart istemci ile test edilirken gözlemlenememiştir. İkili protokolü doğrudan uygulayan bir istemcinin öncelikle bu aramayı yapması gerekmez. Bu sorun yalnızca kimlik doğrulama ve yetkilendirmenin etkinleştirildiği dağıtımlar için geçerlidir. GetSchema komutu Apache Pulsar 2.2.0'dan itibaren, GetOrCreateSchema komutu ise Apache Pulsar 2.5.0'dan itibaren etkilenmektedir. Düzeltmeden sonra broker, GetSchema için konu üzerinde arama (lookup) izni, GetOrCreateSchema için ise konu üzerinde üretme (produce) izni gerektirir. Bu etki analizi, Pulsar'ın varsayılan yetkilendirme sağlayıcısı ile yapılandırıldığını varsaymaktadır. Özel yetkilendirme sağlayıcıları için etki biraz farklı olabilir. Bu sorun, 4.0.14 öncesindeki 2.2.0'dan başlayan Apache Pulsar sürümlerini, 4.1.0 ile 4.1.3 arasındakileri ve 4.2.5 öncesindeki 4.2.0'dan başlayan sürümleri etkilemektedir. - 4.0.x sürüm kullanıcıları en az 4.0.14 sürümüne yükseltmelidir. - 4.1.x ve 4.2.x sürüm kullanıcıları en az 4.2.5 sürümüne yükseltmelidir. Yukarıda listelenenlerden önceki sürümleri kullanan kullanıcılar, yukarıda belirtilen yamalı sürümlere veya daha yeni sürümlere yükseltme yapmalıdır. Şu anda desteklenen Apache Pulsar sürüm hatları 4.0.x ve 5.0.x'tir. Desteklenen sürümler takvimine https://pulsar.apache.org/contribute/release-policy/ adresinden ulaşılabilir.