CVE-2026-105935

Pulsar Functions Worker, bir fonksiyonu tetiklemek için bir REST API uç noktası sağlar ve bu uç nokta, çağırıcı tarafından sağlanan bir değeri fonksiyonun yapılandırılmış giriş konularından birine yayınlar. Functions Worker, bu işlemi kendi broker istemcisiyle gerçekleştirir ve kimlik doğrulamayı API çağırıcısının kimlik bilgileri yerine Worker'ın yapılandırılmış broker-client kimlik bilgileriyle yapar. Yetkilendirme etkinleştirildiğinde, Apache Pulsar 2.4.0 ve sonraki sürümlerde, tetikleme uç noktası yalnızca çağırıcının fonksiyonun ad alanında (namespace) fonksiyon işlemlerini gerçekleştirmek için yetkili olup olmadığını kontrol eder. Mesajın yayınlandığı giriş konusuna veri üretmek (produce) için çağırıcının yetkili olup olmadığını kontrol etmez. 2.4.0 öncesindeki sürümler, tetikleme uç noktası için herhangi bir çağırıcı yetkilendirme kontrolü yapmaz. Fonksiyon giriş konuları, fonksiyonun kendi kiracısı (tenant) veya ad alanı ile sınırlandırılmamıştır ve bir fonksiyon kaydetmek, giriş konuları üzerinde produce izni gerektirmez. Sonuç olarak, bir ad alanındaki fonksiyonları yönetmeye yetkili olan kimliği doğrulanmış bir kullanıcı (örneğin o ad alanında functions iznine sahip bir rol), Functions Worker'ın içeriği çağırıcı tarafından kontrol edilen mesajları, kullanıcının veri üretme yetkisinin olmadığı diğer kiracılardaki konular da dahil olmak üzere bir konuya yayınlamasına neden olabilir. Bu mesajlar, Functions Worker kimliği altında yayınlanır. Sorunun ortaya çıkması için herhangi bir fonksiyon örneğinin çalışıyor olması veya herhangi bir fonksiyon kodunun yürütülmesi gerekmez. Sadece Functions Worker'ın broker-client kimliğinin hedef konuya veri üretmeye yetkili olması ve Apache Pulsar 2.3.0 ve sonrası sürümlerde, süper kullanıcı durumunda olduğu gibi, hedef konunun aboneliklerini listelemeye yetkili olması gerekir. Etki, etkilenen konulardaki verilerin bütünlüğü üzerindedir: bu konuların tüketicileri, bunları yayınlama izni olmayan bir kullanıcıdan mesajlar alabilir. Bu durum, harici ve kimliği doğrulanmış bir istemci tarafından çağrılan Functions Worker REST API'sini ilgilendirir; tamamen güvenilmesi gereken fonksiyon kodu güvenlik modelini değiştirmez. Düzeltilmiş sürümlerde, yetkilendirme etkin olduğunda, bir fonksiyonu tetiklemek artık herhangi bir mesaj yayınlanmadan önce çağırıcının seçilen giriş konusuna veri üretmek için yetkili olmasını gerektirir. Bu sorun, 2.0.0-rc1-incubating sürümünden 4.0.14 öncesine kadar olan ve 4.1.0 sürümünden 4.2.5 öncesine kadar olan Apache Pulsar sürümlerini etkilemektedir. - 4.0.x sürümü kullanıcıları en az 4.0.14 sürümüne yükseltmelidir. - 4.1.x ve 4.2.x sürümü kullanıcıları en az 4.2.5 sürümüne yükseltmelidir. Yukarıda listelenenlerden önceki sürümleri kullanan kullanıcılar, belirtilen yamalı sürümlere veya daha yeni sürümlere yükseltme yapmalıdır. Şu anda desteklenen Apache Pulsar sürüm hatları 4.0.x ve 5.0.x'tir. Desteklenen sürümler takvimine https://pulsar.apache.org/contribute/release-policy/ adresinden ulaşılabilir. Yetkilendirmesi etkin olan ancak hemen yükseltme yapamayan Apache Pulsar 2.4.0 ve sonrası sürüm kullanıcıları, fonksiyonları yönetme iznini güvenilir rollerle sınırlayabilir. 2.4.0 öncesi sürümlerin kullanıcıları, tetikleme uç noktasının çağırıcının fonksiyonları yönetme iznini kontrol etmemesi nedeniyle, Functions Worker REST API erişimini güvenilir çağırıcılarla sınırlandırmalıdır.