Średnia

Apache Pulsar Brokers and Proxies vulnerable to Improper Certificate Validation

Ujawniono: 25.09.2022
Aktualizacja: 11.10.2026 11:21

Apache Pulsar Brokers and Proxies create an internal Pulsar Admin Client that does not verify peer TLS certificates, even when tlsAllowInsecureConnection is disabled via configuration. The Pulsar Admin Client's intra-cluster and geo-replication HTTPS connections are vulnerable to man in the middle attacks, which could leak authentication data, configuration data, and any other data sent by these clients. An attacker can only take advantage of this vulnerability by taking control of a machine 'between' the client and the server. The attacker must then actively manipulate traffic to perform the attack. This issue affects Apache Pulsar Broker and Proxy versions 2.7.0 to 2.7.4; 2.8.0 to 2.8.3; 2.9.0 to 2.9.2; 2.10.0; 2.6.4 and earlier.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.apache.pulsar:pulsar-broker	< 2.7.5, >= 2.8.0, < 2.8.4, >= 2.9.0, < 2.9.3, >= 2.10.0, < 2.10.1	2.7.5, 2.8.4, 2.9.3, 2.10.1
Java / Kotlin (Maven)	org.apache.pulsar:pulsar-proxy	< 2.7.5, >= 2.8.0, < 2.8.4, >= 2.9.0, < 2.9.3, >= 2.10.0, < 2.10.1	2.7.5, 2.8.4, 2.9.3, 2.10.1

Odnośniki

Ocena CVSS 5.9/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE): CWE-295
Platforma: Java / Kotlin (Maven)
Paczka: org.apache.pulsar:pulsar-broker, org.apache.pulsar:pulsar-proxy
Ujawniono: 25.09.2022
Aktualizacja: 11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-j3qw-g67q-7m64 - CC BY 4.0

Historia podatności: org.apache.pulsar:pulsar-broker

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 09.2022 04.2024
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 5

Ujawnienia w latach

2022: 2
2023: 2
2024: 2
2025: 0
2026: 0

02.04.2024

Apache Pulsar: Improper Authorization For Namespace and Topic Management Endpoints

Średnia · 6.4 CVE-2024-29834 >= 2.7.1, <= 2.10.6, >= 2.11.0, <= 2.11.4, >= 3.0.0, < 3.0.4, >= 3.1.0, <= 3.1.3, >= 3.2.0, < 3.2.2 3.0.4, 3.2.2
12.03.2024

Apache Pulsar: Improper Authorization For Topic-Level Policy Management

Średnia · 5.4 CVE-2024-28098 >= 3.2.0, < 3.2.1, >= 3.1.0, < 3.1.3, >= 3.0.0, < 3.0.3, >= 2.11.0, < 2.11.4, >= 2.7.1, < 2.10.6 3.2.1, 3.1.3, 3.0.3, 2.11.4, 2.10.6
12.07.2023

Apache Pulsar Broker Improper Authentication vulnerability

Średnia · 6.5 CVE-2023-31007 >= 2.9.0, < 2.10.4, >= 2.11.0, < 2.11.1 2.10.4, 2.11.1
12.07.2023

Apache Pulsar Broker's Rest Producer vulnerable to Incorrect Authorization

Wysoka · 8.2 CVE-2023-30428 >= 2.9.0, < 2.10.4, >= 2.11.0, < 2.11.1 2.10.4, 2.11.1
25.09.2022

Apache Pulsar Brokers and Proxies vulnerable to Improper Certificate Validation ten wpis

Średnia · 5.9 CVE-2022-33683 < 2.7.5, >= 2.8.0, < 2.8.4, >= 2.9.0, < 2.9.3, >= 2.10.0, < 2.10.1 2.7.5, 2.8.4, 2.9.3, 2.10.1
25.09.2022

Apache Pulsar Broker, Proxy, and WebSocket Proxy vulnerable to Improper Certificate Validation

Średnia · 5.9 CVE-2022-33682 < 2.7.5, >= 2.8.0, < 2.8.4, >= 2.9.0, < 2.9.3, >= 2.10.0, < 2.10.1 2.7.5, 2.8.4, 2.9.3, 2.10.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację