Apache Pulsar et IoTDB : 17 failles dont deux CVSS 10.0

Les faits

Le 21 octobre 2026, l'Apache Software Foundation (ASF) a publié un bulletin de sécurité couvrant 17 vulnérabilités dans deux projets de sa suite de données distribuées : Apache Pulsar (13 CVE) et Apache IoTDB (4 CVE). Parmi ces 17 failles, deux atteignent ou dépassent le seuil critique de CVSS 9.0 en version 3.x, et une autre, CVE-2026-105944, obtient un score CVSS 4.0 de 10.0 — le maximum absolu de l'échelle.

CVE-2026-105944 est la plus sévère du lot. Elle affecte Apache Pulsar Manager, la console web d'administration des clusters Pulsar, dans toutes les versions de 0.1.0 à 0.4.0 incluse. La faille est une absence complète d'authentification pour une fonction critique : un attaquant non authentifié peut appeler l'API d'administration de Pulsar via Pulsar Manager sans présenter aucune credential. En pratique, cela signifie qu'un accès réseau à l'interface Pulsar Manager suffit pour administrer intégralement un cluster Pulsar de production — créer, modifier ou supprimer des topics, des tenants, des namespaces et des politiques d'autorisation.

CVE-2026-105869, notée CVSS 9.2, touche le mécanisme MultiRolesTokenAuthorizationProvider d'Apache Pulsar. Ce provider autorise les clients se présentant avec un JSON Web Token (JWT) contenant plusieurs rôles. La faille réside dans le fait que le provider accorde au client les droits de TOUS les rôles listés dans le claim JWT, sans restriction contextuelle. Un attaquant capable de forger ou d'obtenir un JWT multi-rôles peut s'octroyer des privilèges élargis sur le cluster. La faille affecte Apache Pulsar de la version 2.8.1 jusqu'à 4.0.13, et de 4.1.0 jusqu'à 4.2.4.

Apache IoTDB, la base de données de séries temporelles orientée IoT et systèmes industriels, est affectée par quatre CVE dont CVE-2026-59562, une absence d'authentification pour une fonction critique touchant les versions 2.0.0 à 2.0.10. IoTDB est déployé dans des contextes de supervision industrielle, de smart grid, de monitoring IT et de plateformes IoT — des environnements où l'intégrité des données de mesure est un enjeu opérationnel direct et où une compromission peut avoir des conséquences sur la sécurité physique des installations.

Les autres CVE Pulsar incluent des failles d'autorisation incorrecte ou manquante — CVE-2026-105931, CVE-2026-105933, CVE-2026-105938, CVE-2026-105926, CVE-2026-105934 — dont les scores varient de 2.3 à 7.2 sur l'échelle CVSS 3.x. Ces failles de moindre sévérité individuelle peuvent néanmoins être chaînées avec CVE-2026-105869 pour élever des privilèges dans un scénario d'attaque multistages.

Apache Pulsar est un système de messaging et de streaming de données distribué adopté par des entreprises technologiques, des institutions financières, des opérateurs télécom et des plateformes cloud à grande échelle. Il est utilisé comme alternative ou complément à Apache Kafka dans des architectures événementielles distribuées à fort volume. Sa présence dans des pipelines de données critiques fait de CVE-2026-105944 une faille particulièrement redoutable : un accès non authentifié au plan d'administration d'un cluster Pulsar de production peut entraîner des interruptions de service massives, une modification silencieuse des politiques de routing, ou une exfiltration de données en transit via des subscriptions non autorisées.

La publication groupée de 17 CVE par l'ASF en une journée s'explique par la politique de divulgation responsable coordonnée : les chercheurs ayant identifié les failles ont travaillé en amont avec les équipes de mainteneurs Apache, et le 21 octobre a été retenu comme date de divulgation simultanée après préparation des correctifs. Cette pratique de coordinated disclosure est bonne pour les organisations disposant d'un processus de veille et de patch structuré — elle laisse peu de marge aux organisations sans processus automatisé.

Un point particulièrement préoccupant dans le cas de Pulsar Manager : cette interface d'administration est souvent déployée comme outil secondaire, maintenu par une équipe différente de celle qui opère le cluster Pulsar lui-même. Il peut figurer sous un nom générique dans l'inventaire, exposé sur un port non documenté en interne. Ce type d'actif "oublié" est précisément ce que les acteurs malveillants ciblent dans leurs phases de reconnaissance automatisée via des scanners comme Shodan, Censys ou Fofa.

Les versions corrigées sont Apache Pulsar 4.0.14 et 4.2.5 pour CVE-2026-105869, une version mise à jour de Pulsar Manager pour CVE-2026-105944, et Apache IoTDB 2.0.11 pour les quatre CVE IoTDB. L'ASF recommande une mise à jour immédiate pour tous les déployeurs, en particulier pour Pulsar Manager exposé à des réseaux non entièrement maîtrisés.

Impact et exposition

Apache Pulsar est déployé dans des environnements de production à haute disponibilité chez des acteurs financiers, télécom et tech. Pulsar Manager est souvent insuffisamment isolé dans les architectures legacy. IoTDB est présent dans des contextes industriels et smart city sensibles. Les organisations n'ayant pas segmenté leur plan d'administration des clusters Pulsar sont les plus exposées à CVE-2026-105944. Les environnements utilisant l'authentification JWT multi-rôles doivent traiter CVE-2026-105869 comme urgence critique.

Recommandations

• Mettre à jour Apache Pulsar vers 4.0.14 ou 4.2.5 et Apache Pulsar Manager vers la dernière version corrigée
• Mettre à jour Apache IoTDB vers 2.0.11
• Isoler immédiatement Pulsar Manager derrière un VPN ou une liste blanche IP stricte en attente du patch
• Auditer les tokens JWT multi-rôles en circulation dans vos clusters Pulsar et révoquer ceux à périmètre trop large
• Vérifier les logs d'accès à Pulsar Manager pour détecter toute activité suspecte non authentifiée antérieure au 21 octobre