🇰🇷 한글 설명
Apache Pulsar Broker 및 Proxy가 내부 Admin Client를 생성할 때 tlsAllowInsecureConnection 설정과 관계없이 TLS 인증서를 검증하지 않는 취약점입니다. 이로 인해 클러스터 내부 및 지리적 복제 HTTPS 연결이 중간자 공격(MITM)에 노출되어 인증 및 구성 데이터가 유출될 수 있습니다.
💡 쉬운 설명
데이터를 주고받을 때 상대방이 진짜인지 확인하는 보안 절차를 건너뛰는 결함이 있습니다. 해커가 통신 경로 중간에 끼어들면 중요한 비밀번호나 설정 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Apache Pulsar Brokers and Proxies create an internal Pulsar Admin Client that does not verify peer TLS certificates, even when tlsAllowInsecureConnection is disabled via configuration. The Pulsar Admin Client's intra-cluster and geo-replication HTTPS connections are vulnerable to man in the middle attacks, which could leak authentication data, configuration data, and any other data sent by these clients. An attacker can only take advantage of this vulnerability by taking control of a machine 'between' the client and the server. The attacker must then actively manipulate traffic to perform the attack. This issue affects Apache Pulsar Broker and Proxy versions 2.7.0 to 2.7.4; 2.8.0 to 2.8.3; 2.9.0 to 2.9.2; 2.10.0; 2.6.4 and earlier.
📍 영향받는 시스템
Apache Pulsar Broker/Proxy 2.7.0-2.7.4, 2.8.0-2.8.3, 2.9.0-2.9.2, 2.10.0, 2.6.4 및 이전 버전
⚔️ 공격 벡터
클라이언트와 서버 사이의 네트워크 경로를 장악한 공격자가 트래픽을 가로채는 중간자 공격(MITM)
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Apache Pulsar로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(2.7.0-2.7.4, 2.8.0-2.8.3, 2.9.0-2.9.2, 2.10.0, 2.6.4 이하)에 해당하는지 확인합니다.
pulsar-admin --version 2>/dev/null || echo 'Pulsar not found'