Apache Pulsar: Umgehung der Autorisierung über ungeprüfte JWT-Rollen in HTTP- und WebSocket-Anfragen
Zusammenfassung
Der MultiRolesTokenAuthorizationProvider von Apache Pulsar liest Rollen aus JWT-Claims, ohne die Token-Signatur zu prüfen. Ist anonymousUserRole gesetzt, können Anfragen mit fehlgeschlagener Authentifizierung auf die anonyme Rolle zurückfallen und behalten den ungeprüften Authorization-Header, sodass ein nicht authentifizierter Angreifer ein gefälschtes Token mit beliebigen Rollen an die Admin-REST-API oder die WebSocket-API senden kann. Wenn eine in superUserRoles konfigurierte Rolle enthalten ist, kann der Angreifer Mandanten, Namespaces, Topics, Berechtigungen und die Broker-Konfiguration lesen und ändern. Das Problem setzt einen nicht standardmässigen Autorisierungsprovider und eine nicht standardmässige anonymousUserRole-Einstellung voraus.
Betroffen
- Apache Pulsar 2.8.1 vor 4.0.14
- Apache Pulsar 4.1.0 vor 4.2.5
- Nicht betroffen: Standard-PulsarAuthorizationProvider oder anderer Provider, anonymousUserRole nicht gesetzt (Standard), oder Verbindungen über das Pulsar-Binärprotokoll
Behoben in
- Upgrade der 4.0.x-Linie auf 4.0.14 oder neuer
- Upgrade der 4.1.x- und 4.2.x-Linien auf 4.2.5 oder neuer
- Gemäss Herstellerhinweis auch in 5.0.x behoben (Version in den Quellen nicht angegeben)
Umgehung
- anonymousUserRole aus den Broker- und WebSocket-Service-Konfigurationen entfernen
- Oder den Netzwerkzugriff auf die HTTP- und WebSocket-Endpunkte auf vertrauenswürdige Clients beschränken
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- In der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden
- VulDB meldet keinen öffentlich verfügbaren Exploit; in den Suchen wurde kein öffentlicher PoC gefunden, eine vollständige Prüfung liegt jedoch nicht vor
Unsere Empfehlung
- Prüfen, ob MultiRolesTokenAuthorizationProvider konfiguriert ist und ob anonymousUserRole in Broker- und WebSocket-Konfigurationen gesetzt ist
- Sind beide Bedingungen erfüllt, auf 4.0.14, 4.2.5 oder neuer aktualisieren oder anonymousUserRole als Zwischenmassnahme entfernen
- Zugriff auf Admin-API und WebSocket-Endpunkte auf vertrauenswürdige Admin-Netze beschränken
- Logs auf unerwartete Aktivitäten mit Superuser-Rollen prüfen
- Apache Pulsar Manager, falls im Einsatz, entfernen oder isolieren (verwandte CVE-2026-105944, End-of-Life und ohne Patch)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Pulsar security advisory CVE-2026-105869 pulsar.apache.org
- Apache mailing list thread lists.apache.org
- GitHub Security Advisory GHSA-2x72-7fcr-36h8 github.com
- Apache Pulsar security authorization documentation pulsar.apache.org
- VulDB entry 424935 vuldb.com
- oss-security posting 2026 Q4 296 seclists.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.