CVE-2021-25646
Təsvir
Apache Druid müxtəlif növ sorğulara daxil edilmiş istifadəçi tərəfindən təmin edilən JavaScript kodunu icra etmək imkanına malikdir. Bu funksionallıq yüksək etibarlı mühitlərdə istifadə üçün nəzərdə tutulub və standart olaraq deaktiv edilib. Lakin Druid 0.20.0 və daha əvvəlki versiyalarda autentifikasiya olunmuş istifadəçinin server konfiqurasiyasından asılı olmayaraq, Druid-i həmin sorğu üçün istifadəçi tərəfindən təmin edilən JavaScript kodunu işlətməyə məcbur edən xüsusi hazırlanmış sorğu göndərməsi mümkündür. Bundan hədəf maşında Druid server prosesinin imtiyazları ilə kodun icrasını həyata keçirmək üçün istifadə edilə bilər.
Necə düzəltmək olar
- org.apache.druid:druid0.20.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache druid | v ≤ 0.20.0 | — |
| org.apache.druid:druidMaven | v < 0.20.1 | 0.20.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.