CVE-2026-105944

Apache Pulsar Manager, Apache Pulsar kümelerini yönetmek için kullanılan bir web konsoludur. Kendi kullanıcı hesapları ve giriş sistemi vardır ve kullanıcıları adına Pulsar admin API'sini çağırmak için kullandığı token gibi bir HTTP kimlik doğrulama kimlik bilgisiyle yapılandırılabilir. Pulsar Manager aşağıdaki güvenlik sorunlarına sahiptir: - İlk yönetici (süper kullanıcı) hesabını oluşturma işlemi kimlik doğrulama olmadan kullanılabilir durumdadır ve örnek başlatıldıktan sonra da kullanılmaya devam eder. Pulsar Manager'a erişebilen herkes, herhangi bir zamanda ek bir yönetici hesabı oluşturabilir ve bununla giriş yapabilir. Bu sorun 0.3.0 ve sonraki sürümleri etkilemektedir. - Pulsar Manager tarafından yapılandırılmış Pulsar kümesine yönlendirilen Pulsar admin API istekleri, Pulsar Manager'ın kimlik doğrulamasına tabi değildir. Sürüm 0.2.0 bu isteklerin bazıları için çağırıcının izinlerini kontrol eder ancak tamamı için etmez. Bu nedenle, kimliği doğrulanmamış bir kullanıcı, Pulsar Manager'ı kullanarak Pulsar admin API'sine istekler gönderebilir ve küme bu istekleri Pulsar Manager'da yapılandırılan kimlik bilgileriyle işler. - Yönlendirilen bir isteğin hedefi istek yapan kişi tarafından seçilebilir ve Pulsar Manager, yapılandırılmış Pulsar admin kimlik bilgisini isteğe ekler. Kimliği doğrulanmamış bir kullanıcı, Pulsar Manager'ın bu kimlik bilgisini kendi seçtiği bir ana makineye göndermesini sağlayabilir ve ardından bu kimlik bilgisi doğrudan Pulsar kümesine karşı kullanılabilir. - 0.3.0 ve sonraki sürümlerde Pulsar Manager, hesaplarının yetki seviyeleri arasında ayrım yapmaz. İlk sorundan dolayı oluşturulanlar da dahil olmak üzere her hesap, Pulsar Manager'da fiilen tam yönetici yetkilerine sahiptir. Etki, sürüme ve dağıtıma bağlıdır. 0.3.0 ve sonraki sürümlerde, ağ üzerinden Pulsar Manager'a erişebilen herhangi bir kullanıcı, Pulsar Manager'ın tam kontrolünü ele geçirebilir. Tüm sürümlerde, Pulsar Manager bir Pulsar kümesi için HTTP kimlik doğrulama kimlik bilgisiyle yapılandırıldığında, Pulsar Manager'a erişebilen herhangi bir kullanıcı, bu kimlik bilgisinin izin verdiği Pulsar admin işlemlerini gerçekleştirebilir ve kimlik bilgisinin kendisini elde edebilir. Pulsar Manager, bir Pulsar kümesinin token imzalama anahtarıyla yapılandırıldığında, bir Pulsar Manager yöneticisi küme için token'lar oluşturabilir. Apache Pulsar Manager artık sürdürülmemektedir ve tamamen desteklenmemektedir. Apache Pulsar PMC ürünü emekliye ayırmıştır. Desteklenen hiçbir sürüm yoktur ve hiçbir sürüm için daha fazla yayın, düzeltme veya güvenlik güncelleştirmesi yapılmayacaktır. Bu sorunlar giderilmeyecektir. Pulsar Manager kullanımı önerilmemektedir. Kullanıcılar Pulsar Manager kullanmayı bırakmalı, mevcut dağıtımları kaldırmalı ve Yönetim Arayüzü dokümantasyonunda (https://pulsar.apache.org/docs/administration-ui) açıklanan alternatiflerden birine geçmelidir. Bir Pulsar kimlik bilgisi veya token imzalama anahtarıyla yapılandırılmış Pulsar Manager'ı dış dünyaya açmış olan kullanıcılar, söz konusu kimlik bilgisini veya anahtarı değiştirmeyi de değerlendirmelidir. Bir dağıtım kaldırılana kadar, kullanıcılar Pulsar Manager'ı güvenilmeyen ağlara açmamalı ve ağ erişimini yalnızca güvenilir yöneticilerle sınırlandırmalıdır.