Apache Pulsar: Pulsar Functions Worker のアーカイブ抽出脆弱性により、不正なファイル変更が可能になる

この脆弱性は、攻撃者がPulsar Functions Workerの抽出ディレクトリ外のファイルにアクセスし、書き込むことを可能にします。攻撃者は、この脆弱性を利用して、機密情報を盗み出したり、システムファイルを改ざんしたり、悪意のあるコードを実行したりする可能性があります。特に、Pulsar Brにおいて、この脆弱性が悪用されると、より広範囲なシステムへの影響が及ぶ可能性があります。攻撃者は、ZIPファイル内のファイル名に「..」のような特殊文字を挿入することで、ディレクトリ構造を操作し、意図しない場所にファイルを書き込むことができます。

Organizations heavily reliant on Apache Pulsar for stream processing and real-time data applications are particularly at risk. This includes those deploying Pulsar in production environments with limited security controls or those using older, unpatched versions (2.4.0–3.2.1). Shared hosting environments where multiple users can upload functions also present a heightened risk.

• linux / server:

journalctl -u pulsar-broker -g 'file creation outside designated directory'

• generic web:

curl -I http://<pulsar_broker_url>/functions/<malicious_function_name>.jar | grep 'Server: Apache Pulsar'

1. 2024-03-12Disclosure

   disclosure

1. 予約済み2024-02-23
2. 公開日2024-03-12
3. 更新日2025-02-13
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずPulsarをバージョン3.2.1にアップデートすることを推奨します。アップデートが困難な場合は、Functions Workerへのアクセスを制限し、信頼できないユーザーからのファイルアップロードを禁止するなどの対策を講じてください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるファイルアップロードを検知およびブロックすることも有効です。ファイル名検証の強化も有効な緩和策となります。