CVE-2026-105937

Apache Pulsar shadow topic'leri (PIP-180), bir kaynak topic'in saklanan mesajlarını o topic'in yönetilen ledger'ından okuyan topic'lerdir. Kaynak topic, ayrılmış topic özelliği olan PULSAR.SHADOW_SOURCE ayarlanarak seçilir. Admin REST API, bölümlenmemiş veya bölümlenmiş bir topic oluştururken ve mevcut bir topic'in özelliklerini güncellerken bu özelliği kabul eder. Bu yollarda broker, çağrıyı yapan kişiyi yalnızca oluşturulan veya güncellenen topic üzerinden yetkilendirir; özellik içerisinde adı geçen kaynak topic üzerinden yetkilendirme yapmaz. Shadow topic yapılandırması için mevcut yetkilendirme (kaynak topic üzerindeki SHADOW_TOPIC topic politikası), yalnızca kaynak tarafındaki shadow topics admin API'sine uygulanır, bu yollara uygulanmaz. Sonuç olarak, bir tenant içinde topic oluşturmaya veya topic özelliklerini güncellemeye izin verilen kimliği doğrulanmış bir kullanıcı, söz konusu tenant'taki bir topic'i herhangi bir diğer tenant'taki kalıcı bir topic'e bağlayabilir. Varsayılan yetkilendirme sağlayıcısı ile bu işlemler, kullanıcının kendi tenant'ı için tenant admin rolünü gerektirir. Kullanıcının kaynak topic, onun namespace'i veya tenant'ı üzerinde herhangi bir izne ihtiyacı yoktur. Bu etki analizi, Pulsar'ın varsayılan yetkilendirme sağlayıcısıyla yapılandırıldığını varsaymaktadır. Özel yetkilendirme sağlayıcıları için etki farklı olabilir. Kullanıcı daha sonra, yalnızca kendi topic'i üzerindeki izinleri kullanarak shadow topic'ten tüketim yapabilir ve diğer tenant'taki kaynak topic'e yayınlanmış olan tutulan mesajları alabilir. Maruziyet, kaynak topic'in ledger'larında hala tutulan ve okunabilen mesajlarla sınırlıdır; istemci tarafında uçtan uca şifreleme ile korunan mesajlar, şifreleme anahtarları olmadan çözülemez. Shadow topic üzerindeki bir üretici, şema uyumluluk ayarlarına tabi olmak kaydıyla, kaynak topic'in şeması altında yeni bir şema sürümü kaydedebilir; mevcut şema sürümleri değiştirilmez. Ek olarak, shadow topic'in yönetilen ledger'ı; kaynak topic'in ledger'larına kendi tutma (retention), budama (trimming), dışa aktarma (offloading) ve silme işlemlerini uygular. Bu durum, henüz onaylanmamış mesajlar da dahil olmak üzere, kaynak topic'in kendi aboneliklerinden ve tutma politikasından bağımsız olarak, kaynak topic'in ledger verilerinin BookKeeper'dan ve katmanlı depolamadan kalıcı olarak silinmesine neden olabilir. Shadow topic'in silinmesi de kaynak topic'in ledger'larını silebilir. Bu veri kaybı, yöneticiler tarafından kasıtlı olarak yapılandırılan shadow topic'leri de etkileyebilir. Bu sorun, 4.0.14 öncesindeki 3.0.0'dan başlayan versiyonları ve 4.2.5 öncesindeki 4.1.0'dan başlayan Apache Pulsar versiyonlarını etkilemektedir. Apache Pulsar 2.x sürümleri shadow topic uygulamasını içermemektedir. - 4.0.x versiyon kullanıcıları en az 4.0.14 sürümüne yükseltmelidir. - 4.1.x ve 4.2.x versiyon kullanıcıları en az 4.2.5 sürümüne yükseltmelidir. Yukarıda listelenenlerden önceki versiyonları kullanan kullanıcılar, belirtilen yamalı versiyonlara veya daha yeni versiyonlara yükseltme yapmalıdır. Şu anda desteklenen Apache Pulsar sürüm hatları 4.0.x ve 5.0.x'tir. Desteklenen versiyon takvimine https://pulsar.apache.org/contribute/release-policy/ adresinden ulaşılabilir. Düzeltilen versiyonlarda, shadow topic'ler varsayılan olarak devre dışıdır ve yeni broker yapılandırma ayarı olan enableShadowTopics (varsayılan false) ile kontrol edilir. Devre dışı olduğunda broker; shadow topic oluşturulmasını, PULSAR.SHADOW_SOURCE özelliğinin ayarlanmasını ve mevcut shadow topic'lerin yüklenmesini veya bunlara replikasyon yapılmasını reddeder. Shadow topic kullanan dağıtımlar, yükseltme işleminden sonra tüm broker'ların broker yapılandırmasında enableShadowTopics=true ayarını yapmalıdır; aksi takdirde mevcut shadow topic'ler yüklenmeyecektir. Shadow topic'ler etkinleştirildiğinde, bir shadow topic'in farklı bir tenant'taki kaynak topic'e bağlanması superuser rolü gerektirir. Düzeltilen versiyonlar ayrıca, bir shadow topic'in kaynak topic'inin ledger'larını ve dışa aktarılan verilerini silmesini veya budamasını engeller. Etkilenen versiyonlar, shadow topic'leri devre dışı bırakmak için herhangi bir yapılandırma seçeneği sunmamaktadır. Hemen yükseltme yapamayan kullanıcılar, tenant admin rolünü yalnızca güvenilir kişilere tanımlayarak maruziyeti azaltabilir.