PT-2024-2560 · Apache · Apache Pulsar

Lari Hotari · Publicado 2024-04-02 · Atualizado 2024-05-01 · CVE-2024-29834

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Pulsar 2.7.1 a 2.10.6

Versões do Apache Pulsar 2.11.0 a 2.11.4

Versões do Apache Pulsar 3.0.0 a 3.0.3

Versões do Apache Pulsar 3.1.0 a 3.1.3

Versões do Apache Pulsar 3.2.0 a 3.2.1

Descrição

O problema está relacionado a mecanismos de autorização insuficientes no Apache Pulsar, permitindo que usuários autenticados com permissões de produção ou consumo realizem operações não autorizadas em tópicos particionados. Isso inclui descarregar tópicos, acionar a compactação e gerenciar propriedades do namespace. A vulnerabilidade afeta usuários com o provedor de autorização padrão, e o impacto pode variar com provedores de autorização personalizados.

Recomendações

Os usuários da versão 3.0 do Apache Pulsar devem atualizar para, no mínimo, a versão 3.0.4.

Os usuários das versões 3.1 e 3.2 do Apache Pulsar devem atualizar para, no mínimo, a versão 3.2.2.

Os usuários que operam versões anteriores às listadas acima devem atualizar para as versões corrigidas mencionadas ou para versões mais recentes.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

BDU:2024-02568

CVE-2024-29834

GHSA-7MG2-6C6V-342R

Produtos afetados

Apache Pulsar

Referências · 20

• https://github.com/apache/pulsar · Nota
• https://github.com/apache/pulsar/commit/6ffe667cddad3e959e02ce31fd09b2f9a439d50a · Nota
• https://github.com/apache/pulsar/commit/b51b74883fb66673161d0b73c6a7257d073c57a5 · Nota
• https://twitter.com/Dinosn/status/1775157416780308908 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/04/02/2 · Nota
• https://t.me/cvenotify/75547 · Publicação no Telegram
• ttps://lists.apache.org/thread/v0ltl94k9lg28qfr1f54hpkvvsjc5bj5 · Nota
• https://pulsar.apache.org/security/CVE-2024-29834 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1775246671850737852 · Publicação no Twitter
• https://twitter.com/oss_security/status/1775147686829691361 · Publicação no Twitter
• https://twitter.com/Komodosec/status/1775207967304159582 · Publicação no Twitter
• https://t.me/pentestingnews/45413 · Publicação no Telegram
• https://lists.apache.org/thread/v0ltl94k9lg28qfr1f54hpkvvsjc5bj5 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-7mg2-6c6v-342r · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1775182502623060166 · Publicação no Twitter