🇰🇷 한글 설명
Apache Pulsar Broker의 인증 미흡 취약점으로, authenticateOriginalAuthData 설정이 false인 경우 인증 데이터가 만료된 후에도 클라이언트 연결이 유지될 수 있습니다. 이는 프록시를 통한 연결이나 특수하게 제작된 연결 명령을 통해 발생할 수 있습니다.
💡 쉬운 설명
로그인 정보가 만료되었음에도 불구하고 연결이 끊기지 않고 계속 유지되는 보안 결함입니다. 이를 통해 권한이 없는 사용자가 시스템에 계속 머물며 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Improper Authentication vulnerability in Apache Software Foundation Apache Pulsar Broker allows a client to stay connected to a broker after authentication data expires if the client connected through the Pulsar Proxy when the broker is configured with authenticateOriginalAuthData=false or if a client connects directly to a broker with a specially crafted connect command when the broker is configured with authenticateOriginalAuthData=false.
This issue affects Apache Pulsar: through 2.9.4, from 2.10.0 through 2.10.3, 2.11.0.
2.9 Pulsar Broker users should upgrade to at least 2.9.5.
2.10 Pulsar Broker users should upgrade to at least 2.10.4.
2.11 Pulsar Broker users should upgrade to at least 2.11.1.
3.0 Pulsar Broker users are unaffected.
Any users running the Pulsar Broker for 2.8.* and earlier should upgrade to one of the above patched versions.
📍 영향받는 시스템
Apache Pulsar: 2.9.4 이하, 2.10.0-2.10.3, 2.11.0
⚔️ 공격 벡터
프록시를 통한 연결 또는 특수하게 제작된 connect 명령을 이용한 인증 우회
🛡️ 대응 방법
Apache Pulsar를 2.9.5, 2.10.4 또는 2.11.1 이상의 패치된 버전으로 업그레이드하십시오.
🔧 검증 코드
설치된 Apache Pulsar의 버전을 확인하여 취약한 버전 범위에 해당하는지 대조합니다.
pulsar-admin cluster list 2>/dev/null | grep -E 'version' || echo 'Check installed pulsar version manually'