一、漏洞概要
二、漏洞分析
2.1 组件介绍
Apache Druid 是一个分布式的、支持实时多维 OLAP 分析的数据处理系统。它既支持高速的数据实时摄入处理,也支持实时且灵活的多维数据分析查询。因此 Druid 最常用的场景就是大数据背景下、灵活快速的多维 OLAP 分析。 Druid 还支持根据时间戳对数据进行预聚合摄入和聚合分析,因此也有用户经常在有时序数据处理分析的场景中使用。
2.2 漏洞描述
近日,深信服安全团队监测到一则Apache Druid组件存在文件读取漏洞的信息,漏洞编号:CVE-2021-29620,漏洞威胁等级:低危。
该漏洞是由于用户指定 HTTP InputSource 没有做出限制,可以通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制。攻击者可利用该漏洞在未授权情况下,构造恶意请求执行文件读取,最终造成服务器敏感性信息泄露。
2.3 漏洞复现
搭建Apache Druid组件0.20.1版本环境,复现该漏洞,效果如下:
三、影响范围
可能受漏洞影响的资产广泛分布于世界各地,主要集中在美国,中国,印度等国家,国内主要集中在浙江,北京等地。
目前受影响的Apache Druid版本:
Apache Druid < 0.21.0
四、解决方案
4.修复建议
1. 如何检测组件系统版本
打开网站控制台首页,然后在Status中即可查看组件版本
2.官方修复建议
用户可以通过升级到 0.21.0 或更高版本来避免该问题。
下载链接如下:
https://druid.apache.org/downloads.html