🇰🇷 한글 설명
Apache Pulsar Function Worker에서 발생하는 권한 부여 오류 취약점입니다. 인증된 사용자가 권한 없이 소스 또는 싱크의 설정을 조회할 수 있으며, 이 과정에서 설정에 포함된 자격 증명이 유출될 위험이 있습니다.
💡 쉬운 설명
로그인한 사용자라면 누구나 다른 사람의 설정 정보를 몰래 훔쳐볼 수 있는 문제입니다. 이 설정 안에는 비밀번호 같은 중요한 정보가 들어있을 수 있어 위험합니다.
🇺🇸 원문 (English)
Incorrect Authorization vulnerability in Apache Software Foundation Apache Pulsar Function Worker.
This issue affects Apache Pulsar: before 2.10.4, and 2.11.0.
Any authenticated user can retrieve a source's configuration or a sink's configuration without authorization. Many sources and sinks contain credentials in the configuration, which could lead to leaked credentials. This vulnerability is mitigated by the fact that there is not a known way for an authenticated user to enumerate another tenant's sources or sinks, meaning the source or sink name would need to be guessed in order to exploit this vulnerability.
The recommended mitigation for impacted users is to upgrade the Pulsar Function Worker to a patched version.
2.10 Pulsar Function Worker users should upgrade to at least 2.10.4.
2.11 Pulsar Function Worker users should upgrade to at least 2.11.1.
3.0 Pulsar Function Worker users are unaffected.
Any users running the Pulsar Function Worker for 2.9.* and earlier should upgrade to one of the above patched versions.
📍 영향받는 시스템
Apache Pulsar Function Worker 2.10.4 미만 버전, 2.11.0 버전, 2.9.x 및 그 이전 버전
⚔️ 공격 벡터
인증된 사용자가 특정 소스 또는 싱크의 이름을 추측하여 해당 설정 정보를 요청함
🛡️ 대응 방법
Pulsar Function Worker를 2.10.4 이상 또는 2.11.1 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 2.10.4 또는 2.11.1 이상인지 확인하여 취약 여부를 판단합니다.
pulsar-admin --version 2>/dev/null || echo 'Version check required'