CVE-2026-105931

Apache Pulsar broker, /admin/v3/transactions altında bir işlem yönetimi REST API'si sunmaktadır. Kimlik doğrulama ve yetkilendirme etkinleştirildiğinde, bu API'nin okuma uç noktalarının çoğu yalnızca isteğin kimliğinin doğrulandığını ve broker'ın istenen konuyu veya işlem koordinatörünü sunduğunu doğrular. Verileri döndürülen kiracıya, ad alanına veya konuya erişim için arayan kişinin izni olup olmadığını kontrol etmezler. Bir işlemi iptal eden veya işlem koordinatörlerini ölçeklendiren durum değiştirici uç noktalar, süper kullanıcı erişimini doğru şekilde şart koşar ve etkilenmezler. Sonuç olarak, hiçbir izin verilmemiş olanlar da dahil olmak üzere, kimliği doğrulanmış herhangi bir kullanıcı, diğer kiracılara ait işlem koordinatörü ve işlem bilgilerini okuyabilir. Buna, onları sunan broker servis URL'leri ile birlikte işlem koordinatörlerinin listesi, işlem koordinatörü istatistikleri ve dahili istatistikler, işlemin içerdiği konu ve aboneliklerin isimleri ile işlemi başlatan asıl kullanıcıyı içeren işlem meta verileri, bir işlem koordinatöründeki uzun süreli işlemlerin listesi, herhangi bir konu ve abonelik için işlem tamponu ve bekleyen onaylama istatistikleri ile dahili istatistikler ve bir aboneliğin belirli bir mesaj konumunun şu anda bekleyen bir işlemsel onaylamada tutulup tutulmadığı bilgisi dahildir. İşlem meta verilerinin ve istatistiklerinin ifşası, yalnızca broker'da işlem desteği etkinleştirildiğinde (varsayılan olarak devre dışı olan transactionCoordinatorEnabled) gerçekleşebilir. İşlem desteği devre dışı olduğunda, bu uç noktalar hiçbir işlem verisi döndürmez; tek kalıntı etki, bir uç noktanın hata yanıtının başka bir kiracıda adlandırılmış bir konunun mevcut olup olmadığını ortaya çıkarabilmesidir. Etki, kiracı sınırları genelinde işlemle ilgili meta verilerin ve istatistiklerin ifşasıyla sınırlıdır. Sorun; mesaj içeriklerinin okunmasına, işlemlerin değiştirilmesine veya iptal edilmesine ya da herhangi bir yapılandırmanın değiştirilmesine izin vermez. Bu sorun, 4.0.14 öncesindeki 2.8.0'dan başlayan Apache Pulsar sürümlerini ve 4.2.5 öncesindeki 4.1.0'dan başlayan sürümleri etkilemektedir. - 4.0.x sürüm kullanıcıları en az 4.0.14 sürümüne yükseltmelidir. - 4.1.x ve 4.2.x sürüm kullanıcıları en az 4.2.5 sürümüne yükseltmelidir. Yukarıda listelenenlerden önceki sürümleri kullanan kullanıcılar, yukarıda belirtilen yamalanmış sürümlere veya daha yeni sürümlere yükseltme yapmalıdır. Şu anda desteklenen Apache Pulsar yayın hatları 4.0.x ve 5.0.x'tir. Desteklenen sürümler takvimine https://pulsar.apache.org/contribute/release-policy/ adresinden ulaşılabilir. Hemen yükseltme yapamayan ve Pulsar işlemlerini kullanmayan kullanıcılar, işlem desteğini devre dışı tutmaya devam etmelidir. İşlemlerin gerekli olduğu durumlarda, broker'ın admin HTTP uç noktalarına ağ erişiminin güvenilir yönetim istemcileriyle sınırlandırılması riski azaltır.