Vulnerabilidad en Pulsar Brokers Java Client, Pulsar Brokers Java Admin Client, Pulsar WebSocket Proxys Java Client, Pulsar Proxys Admin Client (CVE-2022-33682)

Una verificación del nombre de host TLS no puede habilitarse en Pulsar Brokers Java Client, Pulsar Brokers Java Admin Client, Pulsar WebSocket Proxys Java Client, Pulsar Proxys Admin Client, dejando las conexiones intra-clúster y las conexiones de geo-replicación vulnerables a ataques de tipo man in the middle, que podrían filtrar credenciales, datos de configuración, datos de mensajes y cualquier otro dato enviado por estos clientes. La vulnerabilidad es tanto para el protocolo pulsar+ssl como para HTTPS. Un atacante sólo puede aprovecharse de esta vulnerabilidad al tomar el control de una máquina "entre" el cliente y el servidor. El atacante debe entonces manipular activamente el tráfico para llevar a cabo el ataque al proporcionar al cliente un certificado criptográficamente válido para un host no relacionado. Este problema afecta a Apache Pulsar Broker, Proxy y WebSocket Proxy versiones 2.7.0 a 2.7.4; 2.8.0 a 2.8.3; 2.9.0 a 2.9.2; 2.10.0; 2.6.4 y anteriores.