🇰🇷 한글 설명
인증된 사용자가 produce 또는 consume 권한만 가지고 있음에도 불구하고 토픽 수준의 정책(보관 주기, TTL, 오프로딩 설정 등)을 수정할 수 있는 취약점입니다. 이러한 관리 작업은 테넌트 관리자나 슈퍼 유저 권한을 가진 사용자에게만 제한되어야 합니다.
💡 쉬운 설명
데이터를 읽거나 쓰기만 하는 일반 사용자가 시스템의 중요한 설정까지 마음대로 바꿀 수 있는 보안 허점입니다. 이로 인해 데이터 보관 기간이 변경되거나 설정이 꼬이는 등의 문제가 발생할 수 있습니다.
🇺🇸 원문 (English)
The vulnerability allows authenticated users with only produce or consume permissions to modify topic-level policies, such as retention, TTL, and offloading settings. These management operations should be restricted to users with the tenant admin role or super user role.
This issue affects Apache Pulsar versions from 2.7.1 to 2.10.5, from 2.11.0 to 2.11.3, from 3.0.0 to 3.0.2, from 3.1.0 to 3.1.2, and 3.2.0.
2.10 Apache Pulsar users should upgrade to at least 2.10.6.
2.11 Apache Pulsar users should upgrade to at least 2.11.4.
3.0 Apache Pulsar users should upgrade to at least 3.0.3.
3.1 Apache Pulsar users should upgrade to at least 3.1.3.
3.2 Apache Pulsar users should upgrade to at least 3.2.1.
Users operating versions prior to those listed above should upgrade to the aforementioned patched versions or newer versions.
📍 영향받는 시스템
Apache Pulsar 2.7.1~2.10.5, 2.11.0~2.11.3, 3.0.0~3.0.2, 3.1.0~3.1.2, 3.2.0
⚔️ 공격 벡터
낮은 권한을 가진 인증된 사용자가 관리자 권한이 필요한 토픽 정책 변경 API를 호출하여 공격
🛡️ 대응 방법
Apache Pulsar를 2.10.6, 2.11.4, 3.0.3, 3.1.3, 3.2.1 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 취약점이 해결된 패치 버전(예: 2.10.6 이상 등)인지 확인