CVE-2026-105934

Apache Pulsar broker admin REST API, kalıcı konular için bir budama (truncate) işlemi sağlar (DELETE /admin/v2/persistent/{tenant}/{namespace}/{topic}/truncate). Bir konuyu budamak, konunun tüm abonelik imleçlerini konunun sonuna taşır ve konunun aktif olmayan defterlerini (ledgers) siler. Bölümlenmemiş bir konunun veya bölüm adı ile hitap edilen tek bir bölümün budanması, doğru şekilde olarak tenant admin rolünü veya superuser rolünü gerektirir. İşlem bölümlenmiş bir konu adı için talep edildiğinde, broker bu tenant admin kontrolünü çağıran kişiye uygulamaz. Bunun yerine, her bölümü, çağıran kişinin kimliği yerine broker'ın yapılandırılmış istemci kimlik bilgileriyle kimlik doğrulaması yapan kendi dahili admin istemcisini kullanarak budar. Her bölüm başına budama isteği hala tenant admin rolü veya superuser rolü açısından kontrol edilir, ancak bu kontrol çağıran kişi yerine broker'ın dahili kimliğine karşı yapılır. Bu nedenle bölümler, yalnızca broker'ın yapılandırılmış istemci rolü bir superuser veya hedef tenant'ın yöneticisi olduğunda budanır ki bu, yetkilendirme etkinleştirildiğinde genellikle kullanılan yapılandırmadır. Sonuç olarak, bu koşul sağlandığında, tenant admin olmayan kimliği doğrulanmış bir kullanıcı, üzerinde arama (lookup) izni olan herhangi bir bölümlenmiş konuyu budayabilir. Çağıran kişinin kimlik doğrulaması ve arama izni tek başına yeterli değildir: eğer broker'ın dahili kimliği hedef tenant için tenant admin veya superuser yetkisine sahip değilse, bölüm başına istekler reddedilir. Varsayılan yetkilendirme sağlayıcısı ile arama izni, konu veya onun namespace'i üzerindeki produce veya consume izni tarafından verilir. Konu üzerinde hiçbir izni olmayan bir kullanıcı bu sorunu tetikleyemez. Bu etki analizi, Pulsar'ın varsayılan yetkilendirme sağlayıcısı ile yapılandırıldığını varsayar. Özel yetkilendirme sağlayıcıları için etki farklı olabilir. Bölümlenmiş bir konuyu bu şekilde budamak, her bölümdeki tüm aboneliklerin imleçlerini konunun sonuna taşır, böylece onaylanmamış herhangi bir birikmiş veri (backlog) atlanır ve artık tüketicilere iletilmez. Ayrıca, namespace'in yapılandırılmış saklama politikasına bakılmaksızın her bölümün uygun eski defterlerini siler, bu nedenle bu defterlerde saklanan mesajlar kalıcı olarak kaybolabilir. Şu anda yazılmakta olan defter, budama işlemi tarafından silinmez. Sorun; mesaj içeriklerinin okunmasına, izinlerin veya yapılandırmanın değiştirilmesine izin vermez ve kullanıcının arama iznine sahip olmadığı konulara erişim sağlamaz. Bu sorun, 4.0.14 öncesindeki 2.8.0'dan başlayan Apache Pulsar sürümlerini ve 4.2.5 öncesindeki 4.1.0'dan başlayan sürümleri etkilemektedir. - 4.0.x sürüm kullanıcıları en az 4.0.14 sürümüne yükseltmelidir. - 4.1.x ve 4.2.x sürüm kullanıcıları en az 4.2.5 sürümüne yükseltmelidir. Yukarıda listelenenlerden önceki sürümleri kullanan kullanıcılar, yukarıda belirtilen yamalı sürümlere veya daha yeni sürümlere yükseltme yapmalıdır. Şu anda desteklenen Apache Pulsar yayın hatları 4.0.x ve 5.0.x'tir. Desteklenen sürümler takvimine https://pulsar.apache.org/contribute/release-policy/ adresinden ulaşılabilir. Hemen yükseltme yapamayan kullanıcılar, broker'ın admin REST API'sine (/admin/v2) ağ erişimini güvenilir yönetici istemcileriyle sınırlandırarak riski azaltabilirler.