PT-2024-3207 · Apache · Apache Pulsar

Chenhao Lu + 2 · Publicado 2024-02-07 · Atualizado 2024-07-22 · CVE-2023-51437

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Pulsar anteriores à 2.11.3

Versões do Apache Pulsar anteriores à 3.0.2

Versões do Apache Pulsar anteriores à 3.1.1

Descrição

O problema está relacionado a uma vulnerabilidade observável de discrepância de tempo no provedor de autenticação SASL do Apache Pulsar, que pode permitir que um invasor falsifique um token de função SASL que passe pela verificação de assinatura. Essa vulnerabilidade pode afetar a confidencialidade e a integridade das informações protegidas.

Recomendações

Para a versão 2.11 do Apache Pulsar, atualize para pelo menos a versão 2.11.3.

Para a versão 3.0 do Apache Pulsar, atualize para pelo menos a versão 3.0.2.

Para o Apache Pulsar versão 3.1, atualize para pelo menos a versão 3.1.1.

Para quaisquer versões anteriores à 2.11.3, 3.0.2 ou 3.1.1, considere atualizar para uma das versões corrigidas acima e atualize o segredo configurado no arquivo saslJaasServerRoleTokenSignerSecretPath.

Correção

Information Disclosure

Side Channel Attack

Enumeração de Fraquezas

CWE-200

CWE-203

Identificadores relacionados

BDU:2024-03433

CVE-2023-51437

GHSA-C57V-4VG5-CM2X

Produtos afetados

Apache Pulsar

Referências · 20

• https://github.com/apache/pulsar · Nota
• https://github.com/apache/pulsar/commit/6274fa01a75d74d559bb7e514c970f1fc07d15bc · Nota
• https://github.com/apache/pulsar/commit/c05954e66ff33098aeb848f4bde51613ace7e47e · Nota
• https://github.com/apache/pulsar/commit/bc1019fa8ed37b8a4c8bb01e3662c6c015e1bc27 · Nota
• https://github.com/apache/pulsar/commit/c27beca64cc93848c40a374f19eaf4d3cc4f4f03 · Nota
• https://github.com/apache/pulsar/pull/21061 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-51437 · Nota de Segurança
• https://t.me/cvenotify/86979 · Publicação no Telegram
• https://twitter.com/oss_security/status/1755194370968395858 · Publicação no Twitter
• https://t.me/cvenotify/71475 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1755192237095309818 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-c57v-4vg5-cm2x · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2024/02/07/1 · Nota
• http://openwall.com/lists/oss-security/2024/02/07/1 · Nota
• https://bdu.fstec.ru/vul/2024-03433 · Nota de Segurança