CVE-2026-105927

Apache Pulsar WebSocket servisi, bir WebSocket tüketicisinin tüketici uç noktasının sorgu parametreleri aracılığıyla, maksimum yeniden teslimat sayısı aşıldıktan sonra mesajların yazılacağı konuyu belirleyen deadLetterTopic parametresi dahil olmak üzere bir ölü mektup politikası yapılandırmasına izin verir. Yetkilendirme etkinleştirildiğinde, WebSocket servisi yalnızca bağlanan kullanıcının abone olunan konuda CONSUME iznine sahip olup olmadığını kontrol eder. Kullanıcının deadLetterTopic içinde belirtilen konuda PRODUCE iznine sahip olup olmadığını kontrol etmez. Ölü mektup mesajları daha sonra WebSocket servisi tarafından, bağlanan kullanıcının kimliği yerine kendi broker istemci kimliği kullanılarak yazılır. Sonuç olarak, en az bir konuda CONSUME iznine sahip olan kimliği doğrulanmış bir kullanıcı, WebSocket servisinin broker'lara bağlanmak için kullandığı rolün söz konusu konuya üretim yapmaya yetkili olması ve konunun şema kaydetmeyen bir üreticiyi kabul etmesi şartıyla, diğer kiracılara ait ad alanları da dahil olmak üzere mevcut herhangi bir ad alanındaki seçtikleri bir konuya mesajlar yazılmasına neden olabilir. WebSocket servisi tarafından oluşturulan ölü mektup üreticisi herhangi bir şema kaydetmez, bu nedenle hedef konu bir şemaya sahip olduğunda ve o konu veya ad alanı için şema doğrulaması zorunlu kılındığında reddedilir; bu ayar varsayılan olarak etkin değildir. Aynı kullanıcı, doğrudan o konuya üretim yapmaya çalıştığında reddedilir. Varsayılan olarak etkin olan otomatik konu oluşturmanın açık olduğu durumlarda, belirtilen konu henüz mevcut değilse oluşturulur. Sorun yalnızca WebSocket servisi ya broker'da (varsayılan olarak devre dışı olan webSocketServiceEnabled) ya da bağımsız bir WebSocket proxy olarak etkinleştirildiğinde tetiklenebilir. Etki, kullanıcının üretim yapmasına izin verilmeyen konulara yetkisiz mesaj enjeksiyonudur. Kullanıcı, abone olunan konudaki mesajları da kontrol ettiğinde, enjekte edilen mesajların içeriğini belirleyebilir. Sorun, hedef konudaki mevcut mesajların okunmasına, değiştirilmesine veya silinmesine izin vermez. Enjekte edilen mesajlar ölü mektup mesaj özelliklerini ve bir ölü mektup üretici adı taşır, dolayısıyla normal şekilde üretilen mesajlardan ayırt edilebilirler; ancak bu özelliklerin değerleri doğrulanmamıştır ve bir mesajın kaynağını belirlemek için bunlara güvenilmemelidir. Enjekte edilmiş bir mesajın daha ileri sonuçlarının olup olmayacağı, hedef konuyu tüketen uygulamaların bu mesajı nasıl işlediğine bağlıdır. Tekrarlanan enjeksiyon işlemleri ayrıca hedef ad alanında depolama ve birikmiş işlem kapasitesini tüketir. Bu sorun, 4.0.14 öncesindeki 2.3.0'dan başlayan Apache Pulsar sürümlerini ve 4.2.5 öncesindeki 4.1.0'dan başlayan sürümleri etkilemektedir. - 4.0.x sürüm kullanıcıları en az 4.0.14 sürümüne yükseltmelidir. - 4.1.x ve 4.2.x sürüm kullanıcıları en az 4.2.5 sürümüne yükseltmelidir. Yukarıda listelenenlerden önceki sürümleri kullanan kullanıcılar, yukarıda belirtilen yamalanmış sürümlere veya daha yeni sürümlere yükseltme yapmalıdır. Şu anda desteklenen Apache Pulsar yayın hatları 4.0.x ve 5.0.x'tir. Desteklenen sürümler takvimine https://pulsar.apache.org/contribute/release-policy/ adresinden ulaşılabilir. Hemen yükseltme yapamayan ve WebSocket servisine ihtiyaç duymayan kullanıcılar bu servisi devre dışı bırakmalıdır. WebSocket servisinin gerekli olduğu durumlarda, servise ağ erişimini kısıtlamak ve WebSocket servisinin broker'lara bağlanmak için kullandığı role verilen izinleri, WebSocket istemcilerinin erişmesinin amaçlandığı ad alanlarıyla sınırlandırmak risk maruziyetini azaltır.