Apache Pulsar: Fehlende Autorisierung der Shadow-Topic-Quelle erlaubt mandantenübergreifenden Datenzugriff

Zusammenfassung

Apache-Pulsar-Shadow-Topics können an ein persistentes Topic in einem anderen Mandanten gebunden werden, ohne dass die Berechtigung für dieses Quell-Topic geprüft wird. Ein authentifizierter Benutzer mit Tenant-Admin-Rolle (Standard-Autorisierungsprovider) oder Rechten zum Erstellen von Topics und Ändern von Topic-Eigenschaften kann beibehaltene Nachrichten aus dem anderen Mandanten lesen und Ledger-Daten des Quell-Topics in BookKeeper und im Tiered Storage dauerhaft löschen. Es ist keine Benutzerinteraktion nötig, und für einen erfolgreichen Angriff genügen gültige Zugangsdaten.

Betroffen

• Apache Pulsar 3.0.0 vor 4.0.14
• Apache Pulsar 4.1.0 vor 4.2.5
• Betroffene Versionen bieten keine Konfigurationsoption, um Shadow Topics zu deaktivieren.
• Standardkonfiguration (Standard-Autorisierungsprovider) vorausgesetzt; eigene Autorisierungsprovider können abweichen.

Behoben in

• Aktualisierung auf 4.0.14 oder neuer in der Linie 4.0.x
• Aktualisierung auf 4.2.5 oder neuer in den Linien 4.1.x und 4.2.x
• Korrigierte Versionen deaktivieren Shadow Topics standardmässig (enableShadowTopics=false). Deployments, die Shadow Topics verwenden, müssen nach der Aktualisierung enableShadowTopics=true auf allen Brokern setzen.
• Unbekannt: genaue korrigierte Version für 5.0.x; siehe Herstellerhinweis.

Umgehung

• Die Tenant-Admin-Rolle nur vertrauenswürdigen Prinzipalen zuweisen.
• Rechte zum Erstellen von Topics und zum Ändern von Topic-Eigenschaften auf vertrauenswürdige Prinzipale beschränken.
• Audit-Logs auf die Verwendung von PULSAR.SHADOW_SOURCE und auf unerwartete mandantenübergreifende Shadow Topics prüfen.

Ausnutzung

• Bekannte Ausnutzung: Unbekannt.
• CISA SSVC (Vulnrichment): Exploitation none, Automatable no, Technical Impact total.
• Öffentlicher Proof of Concept: zum Zeitpunkt der Erstellung keiner gefunden.

Unsere Empfehlung

• Alle Apache-Pulsar-Installationen inklusive Pulsar Manager erfassen und deren Versionen festhalten.
• Aktualisierung auf 4.0.14 oder 4.2.5 (bzw. auf die korrigierte 5.0.x-Version gemäss Herstellerhinweis) planen. Vor der Aktualisierung bestehende Shadow Topics identifizieren, da sie ohne enableShadowTopics=true nicht geladen werden.
• Bis zur Korrektur die Tenant-Admin-Rolle sowie Rechte zum Erstellen von Topics und Ändern von Topic-Eigenschaften auf vertrauenswürdige Prinzipale beschränken.
• Gültige Backups der BookKeeper- und Tiered-Storage-Daten prüfen, da ein Löschrisiko besteht.
• Audit-Logs auf die Verwendung von PULSAR.SHADOW_SOURCE überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache Pulsar security advisory CVE-2026-105937 pulsar.apache.org
• Apache mailing list thread lists.apache.org
• Apache Pulsar security overview pulsar.apache.org
• Apache Pulsar shadow topics issue (PIP-180 background) github.com
• NVD CVE-2026-105937 (OSV-style ranges, via Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:01.