Aleksandar Djordjevic

**Nome do Software Vulnerável e Versões Afetadas** Apache Pulsar Manager versões 0.1.0 through 0.4.0 **Description** O Apache Pulsar Manager contém diversas falhas de segurança. O processo de criação da conta de administrador inicial está disponível sem autenticação e permanece disponível após a inicialização, permitindo que qualquer usuário com acesso à rede crie uma conta de administrador. Nas versões 0.3.0 e posteriores, o software não distingue níveis de privilégios, concedendo a todas as contas direitos administrativos totais. Além disso, as solicitações enviadas ao Pulsar admin API via proxy ignoram a autenticação, permitindo que usuários não autenticados realizem operações administrativas usando as credenciais configuradas. Adicionalmente, o solicitante pode escolher o destino de uma solicitação proxy, fazendo com que o Pulsar Manager envie suas credenciais de administrador configuradas para um host arbitrário. Se configurado com uma chave de assinatura de token, um administrador do Pulsar Manager pode criar tokens para o cluster. **Recommendations** Interrompa o uso do Apache Pulsar Manager e remova todas as implantações existentes. Substitua quaisquer credenciais do Pulsar ou chaves de assinatura de token que tenham sido usadas em configurações do Pulsar Manager. Restrinja o acesso à rede apenas a administradores confiáveis e não exponha o software a redes não confiáveis até que seja removido.

**Nome do Software Vulnerável e Versões Afetadas** Apache Syncope versões 3.0.0-M0 through 3.0.16 Apache Syncope versões 4.0.0-M0 through 4.0.7 Apache Syncope versões 4.1.0-M0 through 4.1.2 **Description** Um problema de autorização incorreta existe nas verificações de segurança de administração delegada, que dependem da hierarquia de Realm e de correspondências de prefixo. Devido a um erro de implementação, o sistema não consegue distinguir entre dois Realms irmãos se seus nomes começarem com a mesma string, resultando em autorização incorreta. **Recommendations** Atualizar as versões 3.0.0-M0 through 3.0.16 para a versão 4.0.8 ou 4.1.3. Atualizar as versões 4.0.0-M0 through 4.0.7 para a versão 4.0.8 ou 4.1.3. Atualizar as versões 4.1.0-M0 through 4.1.2 para a versão 4.1.3.