Plataforma
apache
Componente
apache-pulsar
Corrigido em
2.10.6
2.11.4
3.0.3
3.1.3
3.2.1
Uma vulnerabilidade de Directory Traversal foi descoberta no Apache Pulsar Functions Worker. Usuários autenticados podem explorar essa falha ao enviar arquivos de função (JAR ou NAR) maliciosos, permitindo a manipulação de arquivos fora do diretório de extração designado. Essa vulnerabilidade afeta as versões 2.4.0 até 3.2.1 do Apache Pulsar e é crucial aplicar as correções ou implementar medidas de mitigação para proteger o sistema.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante, após autenticação, modifique ou crie arquivos em locais arbitrários no sistema de arquivos do Pulsar Functions Worker. Isso pode levar à execução de código malicioso, roubo de dados confidenciais, interrupção do serviço ou até mesmo ao comprometimento completo do sistema. A capacidade de manipular arquivos fora do diretório esperado representa um risco significativo, especialmente em ambientes onde o Pulsar é usado para processamento de dados sensíveis ou integração com outros sistemas críticos. A ausência de validação adequada dos nomes de arquivos dentro dos arquivos JAR/NAR facilita a exploração, tornando-a um alvo atraente para atacantes.
Esta vulnerabilidade foi divulgada em 12 de março de 2024. A probabilidade de exploração é considerada média (EPSS score pendente), dada a necessidade de autenticação e a complexidade da criação de um payload malicioso. Não há relatos públicos de exploração ativa no momento, mas a disponibilidade de informações detalhadas sobre a vulnerabilidade aumenta o risco de ataques futuros. A vulnerabilidade é semelhante a outras falhas de Directory Traversal que exploram a falta de validação de entrada.
Organizations heavily reliant on Apache Pulsar for stream processing and real-time data applications are particularly at risk. This includes those deploying Pulsar in production environments with limited security controls or those using older, unpatched versions (2.4.0–3.2.1). Shared hosting environments where multiple users can upload functions also present a heightened risk.
• linux / server:
journalctl -u pulsar-broker -g 'file creation outside designated directory'• generic web:
curl -I http://<pulsar_broker_url>/functions/<malicious_function_name>.jar | grep 'Server: Apache Pulsar'disclosure
Status do Exploit
EPSS
1.03% (percentil 77%)
Vetor CVSS
A correção primária para esta vulnerabilidade é atualizar o Apache Pulsar para a versão 3.2.1 ou superior, que inclui a validação adequada dos nomes de arquivos. Como alternativa, se a atualização imediata não for possível, implemente uma validação rigorosa dos nomes de arquivos antes da extração, rejeitando arquivos que contenham caracteres especiais como "..". Considere a implementação de regras em um Web Application Firewall (WAF) ou proxy reverso para bloquear o upload de arquivos com nomes suspeitos. Monitore logs do Pulsar Functions Worker em busca de tentativas de acesso a arquivos fora do diretório esperado.
Actualice Apache Pulsar a la versión 2.10.6 o superior si está utilizando la serie 2.10. Actualice a la versión 2.11.4 o superior si está utilizando la serie 2.11. Para las series 3.0, 3.1 y 3.2, actualice a las versiones 3.0.3, 3.1.3 y 3.2.1 respectivamente, o a una versión más reciente.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-27317 is a HIGH severity vulnerability in Apache Pulsar versions 2.4.0–3.2.1 where malicious function uploads can exploit a directory traversal flaw, potentially allowing unauthorized file access and modification.
If you are running Apache Pulsar versions 2.4.0 through 3.2.1, you are potentially affected by this vulnerability. Immediate action is required.
The recommended fix is to upgrade Apache Pulsar to version 3.2.1 or later. Temporary workarounds include restricting file uploads and implementing strict filename validation.
While no active exploitation campaigns have been definitively confirmed, the vulnerability's nature and potential impact suggest that exploitation is likely. Monitor your systems closely.
Refer to the official Apache Pulsar security advisory for detailed information and updates: [https://pulsar.apache.org/security/CVE-2024-27317/](https://pulsar.apache.org/security/CVE-2024-27317/)
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.