安全预警

Apache Druid 文件读取漏洞

  • 发布时间:2021-07-07
  • 来源:
  • 点击:

一、漏洞概要


二、漏洞分析

2.1 组件介绍

Apache Druid 是一个分布式的、支持实时多维 OLAP 分析的数据处理系统。它既支持高速的数据实时摄入处理,也支持实时且灵活的多维数据分析查询。因此 Druid 最常用的场景就是大数据背景下、灵活快速的多维 OLAP 分析。 Druid 还支持根据时间戳对数据进行预聚合摄入和聚合分析,因此也有用户经常在有时序数据处理分析的场景中使用。

2.2 漏洞描述

近日,深信服安全团队监测到一则Apache Druid组件存在文件读取漏洞的信息,漏洞编号:CVE-2021-29620,漏洞威胁等级:低危。

该漏洞是由于用户指定 HTTP InputSource 没有做出限制,可以通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制。攻击者可利用该漏洞在未授权情况下,构造恶意请求执行文件读取,最终造成服务器敏感性信息泄露。

2.3 漏洞复现

搭建Apache Druid组件0.20.1版本环境,复现该漏洞,效果如下:

download

 

 

 

 

三、影响范围

可能受漏洞影响的资产广泛分布于世界各地,主要集中在美国,中国,印度等国家,国内主要集中在浙江,北京等地。

yingxiang

目前受影响的Apache Druid版本:

 

Apache Druid < 0.21.0

 

 

四、解决方案

4.修复建议

1. 如何检测组件系统版本

打开网站控制台首页,然后在Status中即可查看组件版本

版本

2.官方修复建议

用户可以通过升级到 0.21.0 或更高版本来避免该问题。
下载链接如下:

https://druid.apache.org/downloads.html

 

上一条:Windows 内核提权漏洞 CVE-2021-31979-漏洞应急响应通告

下一条:Windows 内核信息泄漏漏洞